Rootkit: ce este, de ce se ascunde atât de bine și cum scapi de el

Un rootkit este, potrivit ghidului CERT-⁠RO publicat de DNSC, o colecție de utilitare proiectate să mențină controlul sau accesul la calculator. După instalare, rootkitul folosește funcții ale sistemului de operare ca să se „ascundă” și să rămână nedetectat. Rootkiturile au apărut întâi pe Unix, dar sunt folosite azi și pe Linux, Windows și alte sisteme de operare; pot avea și scopuri legale, dar sunt cunoscute mai ales pentru folosirea în scopuri malițioase. Nu există date oficiale românești despre rootkiturile care îi vizează pe utilizatorii casnici.

De ce e atât de greu de găsit

Microsoft explică de ce contează momentul în care scanezi: când Windows nu e încărcat, un malware persistent are mai multe dificultăți să se ascundă sau să se apere. Invers, cât timp sistemul rulează, un rootkit care se folosește chiar de funcțiile lui poate rămâne invizibil pentru o scanare obișnuită. Siguranța Online, într-⁠un material preluat de la Microsoft, vorbește despre viruși dificil de eliminat, care încep să ruleze înainte de sistemul de operare, și despre programe care se reinstalează după ce au fost detectate și eliminate.

Cum ajunge

Un rootkit trebuie mai întâi instalat, așa că intră pe aceleași căi ca restul programelor malițioase. Siguranța Online enumeră atașamentele de e-⁠mail, fișierele descărcate de pe internet și software-⁠ul piratat, iar Microsoft adaugă fișierele și aplicațiile care par utile, dar sunt cai troieni, și falsele actualizări de browser. Nu apăsa „OK” sau „Agree” într-⁠o fereastră suspectă: Siguranța Online recomandă să o închizi din „X” sau cu Alt + F4. Și folosește zi de zi un cont standard, nu de administrator, pentru că un program care rulează cu drepturi de administrator poate infecta orice fișier din sistem.

Cum îl cauți: scanarea offline Antivirus Microsoft Defender

1. Salvează fișierele deschise: calculatorul va reporni.
2. Deschide Securitate Windows > Protecție împotriva virușilor și amenințărilor > Opțiuni de scanare.
3. Alege Antivirus Microsoft Defender (scanare offline) și pornește scanarea. Ea folosește cele mai recente definiții și rulează după repornire, în Mediul de recuperare Windows, fără să încarce Windows.
4. La final, PC-⁠ul repornește automat. Rezultatele le vezi deschizând Securitate Windows, la Istoric protecție.

Microsoft Defender Offline este încorporat începând cu Windows 10, notează Siguranța Online. Microsoft îl recomandă dacă te îngrijorează că dispozitivul a fost expus unui malware sau unui virus ori dacă vrei să-⁠l scanezi fără să fii conectat la internet.

Ce mai poți verifica

• Rulează întâi o scanare rapidă: dacă nu găsește probleme, dar tot ești îngrijorat, Microsoft recomandă să verifici mai atent dispozitivul. Un fișier sau un folder anume îl poți scana din Explorer, cu clic dreapta și Scanați cu Microsoft Defender.
• Că Protecția în timp real și Protecția livrată în cloud sunt activate, la Gestionați setările. Cu protecția din cloud, Defender primește îmbunătățiri actualizate constant de la Microsoft și identifică mai precis amenințările.
• Că Protecție împotriva falsificării este activată: împiedică aplicațiile rău intenționate să modifice setările importante ale Antivirus Microsoft Defender, ca protecția în timp real.
• Lista Amenințări permise: un element permis din greșeală poate fi readus sub control cu butonul Nu se permite.
• Actualizările Windows: instalează-⁠le pe toate. Siguranța Online avertizează că virușii pot împiedica uneori accesul la actualizări, așa că lasă activate actualizările automate.

Dacă rootkitul nu dispare

Google, în ghidul pentru conturile compromise, indică revenirea calculatorului la setările din fabrică și reinstalarea sistemului de operare, după ce faci backup fișierelor de care ai nevoie. Reinstalează apoi programele doar de pe site-⁠uri în care ai încredere și actualizează imediat Windows și aplicațiile. Dacă bănuiala rămâne și după o scanare offline curată, reinstalarea te lasă să pornești de la un sistem curat.

După curățare: parolele

Un rootkit există ca să păstreze controlul asupra calculatorului, așa că tratează ca expuse toate parolele folosite pe el. Schimbă-⁠le de pe un alt dispozitiv, începând cu e-⁠mailul și banca, activează autentificarea în doi pași și verifică, în conturile tale, dispozitivele conectate și evenimentele de securitate recente. Dacă ai folosit calculatorul pentru internet banking, anunță banca.

Și pe telefon?

Pe Android, unele programe malițioase se apără asemănător și, avertizează DNSC, pot evita detecția perioade lungi. DNSC a descris cum Rafel RAT, odată ce obține drepturi de administrator al dispozitivului, poate bloca dezinstalarea și poate schimba parola ecranului de blocare, iar în alerta despre FluBot recomandă resetarea din fabrică înainte de orice autentificare în conturi.

Un rootkit minte despre starea calculatorului. Verifică-⁠l din afară, cu scanarea offline, iar dacă bănuiala rămâne, pornește de la un sistem curat.