Rootkit: o que é, por que é tão difícil de detectar e como remover

Para o CERT.br, rootkit é um conjunto de programas e técnicas que permite esconder e assegurar a presença de um invasor ou de outro código malicioso em um dispositivo comprometido. O nome não vem de obter acesso, mas de mantê-lo: ele esconde arquivos, diretórios, processos, chaves de registro e conexões de rede, e pode instalar backdoors.

A Inicialização Segura

Segundo a Microsoft, a Inicialização Segura evita que um tipo sofisticado e perigoso de malware — um rootkit — seja carregado quando o dispositivo é iniciado. Para verificá-la: Configurações › Sistema › Recuperação › «Reiniciar agora» (em Inicialização avançada) › Solução de problemas › Opções avançadas › Configurações de firmware UEFI. A Microsoft está atualizando os certificados da Inicialização Segura de 2011, que expiram a partir de junho de 2026; nas versões compatíveis do Windows, a atualização é automática.

A Verificação offline do Microsoft Defender

1. Se o disco estiver criptografado com BitLocker, suspenda o BitLocker antes.
2. Abra Segurança do Windows › Proteção contra vírus e ameaças › Opções de verificação.
3. Escolha a Verificação offline do Microsoft Defender e selecione «Verificar agora». O computador reinicia e a verificação, focada em firmware e rootkits, leva cerca de 15 minutos.
4. Depois, veja o resultado em Segurança do Windows › Histórico de proteção.

Se o rootkit não sair

• O CERT.br recomenda reinstalar o sistema ou restaurar as configurações de fábrica quando não for possível remover o malware.
• A Microsoft sugere redefinir, restaurar ou reinstalar o computador, e alerta que backups que estavam no computador durante a infecção podem ter sido alterados pelo malware.
• Depois, troque as senhas que você usava no aparelho.

Um rootkit mente sobre o estado do aparelho. Verifique-o por fora e, se a dúvida continuar, recomece com um sistema limpo.