Rootkit: vad det är, varför det är svårt att hitta och hur du blir av med det

Ett rootkit används av författare av skadlig kod för att dölja den på enheten, så att den kan finnas kvar så länge som möjligt, skriver Microsoft. Ett lyckat rootkit kan potentiellt förbli installerat i flera år om det inte upptäcks, och under tiden stjäl det information och resurser. Rootkit är alltså inte ett eget sätt att skada dig, utan ett sätt att gömma den skadliga kod som gör det. Microsofts svenska vägledning är den här guidens huvudkälla.

Varför rootkits är så svåra att hitta

Rootkits fångar upp och ändrar operativsystemets egna standardprocesser. När ett rootkit har infekterat en enhet kan du inte lita på någon information som enheten rapporterar om sig själv: ber du den lista alla program som körs kan rootkitet i smyg ta bort de program som det inte vill att du ska veta om. Rootkits vill dölja både sig själva och sin skadliga aktivitet. Många moderna familjer av skadlig kod använder rootkits för att undvika att upptäckas och tas bort, och Microsoft nämner bland andra Alureon, Rustock och Sirefef.

Hur ett rootkit tar sig in

Eftersom ett rootkit gömmer annan skadlig kod är vägarna in desamma som för trojaner och andra skadeprogram: bilagor och länkar i mejl, program som laddas ned från andra webbplatser än de officiella, falska programuppdateringar och programfel i webbläsare och operativsystem som inte har uppdaterats. Precis som mot annan skadlig kod är det bästa skyddet enligt Microsoft att hindra att den installeras över huvud taget: tillämpa de senaste uppdateringarna på operativsystem och appar och var försiktig med misstänkta webbplatser och e-postmeddelanden.

Tecken som kan tyda på ett rootkit

Eftersom ett rootkit döljer sig syns det sällan direkt. Misstänksam bör du vara om skadlig kod kommer tillbaka efter att den har tagits bort, om enheten inte fungerar som den ska eller om antivirusprogrammet eller operativsystemet varnar. Ett annat tecken som Internetstiftelsen nämner är konton i sociala medier som kapas gång på gång trots att du byter lösenord. Microsoft råder dig att köra offlinesökningen just när du är orolig för att enheten kan ha utsatts för skadlig kod.

Så söker du efter ett rootkit i Windows

Tror du att du har ett rootkit kan du behöva ett verktyg som startar i en känd, betrodd miljö, skriver Microsoft. Microsoft Defender Offline startas från appen Windows-säkerhet, har de senaste uppdateringarna mot skadlig kod och är gjort för enheter som inte fungerar korrekt på grund av eventuell skadlig kod.

1. Spara filer som är öppna, eftersom datorn startas om.
2. Öppna Windows-säkerhet > Skydd mot virus och hot och välj Sökalternativ.
3. Välj Microsoft Defender Antivirus (offlinesökning) och starta sökningen. Den körs i Windows Återställningsmiljö efter omstarten, utan att Windows läses in, så att beständig skadlig kod har svårare att gömma sig eller försvara sig.
4. När genomsökningen är klar startar datorn om automatiskt. Resultatet ser du i Windows-säkerhet under Skyddshistorik.

Kontrollera också under Hantera inställningar att Realtidsskydd, Molnbaserat skydd och Manipulationsskydd är aktiverade. Molnbaserat skydd ger Microsoft Defender ständigt uppdaterade förbättringar för mer exakt identifiering, och manipulationsskyddet hindrar skadliga appar från att stänga av kritiska säkerhetsfunktioner. I Windows 10 finns dessutom System Guard, som enligt Microsoft skyddar mot rootkits och hot som påverkar systemets integritet.

Om rootkitet inte går att ta bort

Kvarstår problemet rekommenderar Microsoft starkt att du installerar om operativsystemet och säkerhetsprogramvaran och sedan återställer dina data från en säkerhetskopia.

• Gå till Inställningar > System > Återställning och välj Återställ dator under Återställningsalternativ.
• Behåll mina filer installerar om Windows och behåller dokument och foton, men tar bort appar och inställningar. Ta bort allt installerar om Windows och tar bort alla personliga filer, appar och inställningar. Nedladdning från molnet hämtar en ny kopia av Windows, medan lokal ominstallation använder filerna som redan finns på datorn.
• Säkerhetskopiera viktiga filer först, och ha BitLocker-återställningsnyckeln till hands om enheten är krypterad.
• Under återställningen kan skärmen vara svart länge, ibland upp till 15 minuter. Försöker du starta om datorn manuellt kan återställningen misslyckas.
• Kommer du inte in i Windows kan du återställa från Windows Återställningsmiljö via Felsök > Återställ den här datorn.

Efter ominstallationen

• Uppdatera Windows och alla program direkt. Windows 10 får inte längre kostnadsfria säkerhetskorrigeringar sedan den 14 oktober 2025, och Microsoft rekommenderar att du byter till Windows 11.
• Byt lösenorden som du har använt på datorn, eftersom den skadliga kod som rootkitet dolde kan ha stulit information under hela tiden.
• Säkerhetskopiera enligt 3-2-1-regeln som Microsoft beskriver: tre kopior av dina data på två olika lagringstyper, varav minst en på en annan plats.
• Koppla ur säkerhetskopian från datorn mellan kopieringarna, råder Polisen, annars kan även den utsättas för skadlig kod.

Ett rootkit ljuger om datorns tillstånd. Kontrollera den utifrån, med offlinesökningen, och börja om från ett rent system om tvivlet består.