Rootkit: co to jest, dlaczego trudno go wykryć i jak go usunąć

Rootkit to według słownika gov.pl narzędzia wykorzystywane do ukrywania złośliwego działania: szkodliwe oprogramowanie ukrywa się za ich pomocą, żeby uniknąć wykrycia przez aplikacje antywirusowe. Rootkit rzadko jest więc celem sam w sobie. Towarzyszy innym szkodnikom, np. programom kradnącym hasła czy trojanom zdalnego dostępu, i sprawia, że trudniej je znaleźć i usunąć. Słownik gov.pl opisuje też szkodniki, które odtwarzają się nawet po usunięciu, np. przez mechanizm odzyskiwania systemu Windows.

Nie ma oficjalnych polskich statystyk dotyczących rootkitów. CERT Polska liczy je razem z innym szkodliwym oprogramowaniem, którego w 2025 roku dotyczyło 3438 incydentów.

Dlaczego rootkit jest tak trudny do wykrycia

Zwykłe skanowanie działa wewnątrz uruchomionego systemu, a rootkit stara się właśnie ten system oszukać. Najgłębiej sięgają rootkity, które infekują lub nadpisują główny rekord rozruchowy (MBR), czyli fragment dysku używany przy uruchamianiu komputera. Dlatego Microsoft przygotował skanowanie, które uruchamia się z zaufanego środowiska i działa poza standardowym jądrem Windows. Według dokumentacji Microsoftu ochrona w trybie skanowania offline koncentruje się właśnie na oprogramowaniu sprzętowym i rootkitach.

Szkodniki próbują też wyłączać zabezpieczenia. Dlatego Zabezpieczenia Windows mają Ochronę przed naruszeniami, która nie pozwala złośliwym aplikacjom zmieniać ważnych ustawień programu antywirusowego Microsoft Defender, takich jak ochrona w czasie rzeczywistym i ochrona dostarczana z chmury. Gdy jest włączona, ustawienia zmienisz tylko w aplikacji Zabezpieczenia Windows, jako administrator.

Skąd się bierze rootkit

• Z archiwum w załączniku e-maila, w którym plik wykonywalny udaje dokument.
• Z polecenia wklejonego do okna Uruchom lub PowerShella na prośbę fałszywej CAPTCHA.
• Z programu do zdalnego pulpitu zainstalowanego na prośbę rzekomego konsultanta, przez który przestępca może zainfekować komputer.
• Z niezałatanych luk w systemie i programach.

Jak sprawdzić komputer: skanowanie offline Microsoft Defender

1. Zapisz otwarte pliki i zamknij programy: komputer uruchomi się ponownie.
2. Jeśli dysk systemowy jest zaszyfrowany funkcją BitLocker, wstrzymaj jej ochronę przed skanowaniem albo przygotuj klucz odzyskiwania. Inaczej po restarcie system może poprosić o ten klucz.
3. Otwórz aplikację Zabezpieczenia Windows > Ochrona przed wirusami i zagrożeniami > Opcje skanowania.
4. Wybierz Program antywirusowy Microsoft Defender (skanowanie offline) i kliknij Skanuj teraz. Potrzebne jest konto z uprawnieniami administratora.
5. Skanowanie trwa około 15 minut i wygląda inaczej niż zwykle, bo odbywa się w środowisku odzyskiwania systemu Windows. Po zakończeniu komputer sam uruchomi się ponownie.
6. Wyniki sprawdzisz w aplikacji Zabezpieczenia Windows, w sekcji Historia ochrony.

Jeśli po kliknięciu nic się nie dzieje, przyczyną może być wyłączone środowisko odzyskiwania systemu Windows (WinRE). Bez niego skanowanie offline się nie uruchamia i nie wyświetla żadnego błędu. Stan sprawdzisz w wierszu polecenia poleceniem reagentc /info, a włączysz poleceniem reagentc /enable. Microsoft opisuje to w dokumentacji Defendera, która dotyczy także wersji Microsoft Defender for Individuals.

Skanowanie offline jest wbudowane w Windows 10 (od wersji 1607) i Windows 11. Żeby korzystało z aktualnych definicji, Microsoft Defender musi być podstawowym programem antywirusowym, a nie działać w trybie pasywnym. Po zainstalowaniu zgodnego antywirusa innej firmy Defender automatycznie się wyłącza, więc wtedy sięgnij po narzędzia tego pakietu.

Kiedy uruchomić skanowanie offline

• Gdy obawiasz się, że urządzenie miało kontakt z wirusem lub złośliwym oprogramowaniem, a zwykłe skanowanie niczego nie znajduje.
• Gdy Zabezpieczenia Windows same to zaproponują w powiadomieniu.
• Po usunięciu szkodnika, żeby potwierdzić, że komputer został dokładnie oczyszczony.
• Gdy chcesz bezpiecznie przeskanować komputer bez połączenia z internetem.

Jeśli rootkit nie znika

Najpewniejszym wyjściem jest czysta instalacja. CERT Polska w poradniku o infostealerach radzi zrobić kopię zapasową danych, przeinstalować system operacyjny i przywrócić tylko najważniejsze dane, a wcześniej, z innego, niezainfekowanego urządzenia, zmienić wszystkie hasła zapisane w przeglądarce i aplikacjach oraz wpisywane już po infekcji. Na telefonie z Androidem odpowiednikiem jest przywrócenie ustawień fabrycznych, które kasuje wszystkie dane: dane zapisane na koncie Google da się później odtworzyć, ale aplikacje trzeba zainstalować od nowa. Jeśli hasło do konta Google zostało niedawno zresetowane, Google radzi odczekać 24 godziny przed przywróceniem ustawień fabrycznych.

Jak się chronić

• Zostaw włączone Ochronę w czasie rzeczywistym i Ochronę przed naruszeniami.
• Zajrzyj na listę Dozwolone zagrożenia w Zabezpieczeniach Windows. Jeśli przypadkiem zezwoliłeś na zagrożenie, wybierz je i kliknij Nie zezwalaj: Windows znów zareaguje, gdy je wykryje.
• Aktualizuj Windows: Zabezpieczenia Windows pobierają najnowszą analizę zabezpieczeń przez Windows Update.
• Nie dodawaj wykluczeń ze skanowania bez potrzeby. Microsoft ostrzega, że wykluczenie pliku lub procesu może narazić urządzenie i dane.
• Nie uruchamiaj plików z nieoczekiwanych załączników i nie wklejaj poleceń, o które prosi strona internetowa.
• Nie pozwalaj osobie, która do Ciebie dzwoni, przejąć kontroli nad komputerem.

Rootkit kłamie o stanie systemu, więc sprawdzaj go z zewnątrz. A jeśli wątpliwości zostają, zacznij od czystej instalacji.