Aktualizacja: październik 2026

Rootkity są mniej liczne niż zwykłe złośliwe programy, ale groźniejsze. Gdy działają, system sam „kłamie”: lista procesów, pliki na dysku i wyniki skanowania wyglądają czysto, bo rootkit filtruje to, co widzisz. Dlatego w tym poradniku skupiam się na tym, jak sprawdzić komputer z zewnątrz, czyli zanim rootkit się uruchomi, i kiedy nie warto walczyć, tylko zainstalować system od nowa.

Co to jest rootkit

Nazwa łączy słowa root (konto z najwyższymi uprawnieniami w systemach uniksowych) i kit (zestaw narzędzi). Rootkit to więc zestaw narzędzi, który pozwala utrzymać najwyższe uprawnienia na komputerze i ukryć ten fakt. Sam w sobie nie musi niczego kraść. Zwykle jest „płaszczem” dla innego szkodnika: trojana zdalnego dostępu, keyloggera lub programu dołączającego komputer do botnetu.

Dlatego potoczne określenie „wirus rootkit” jest nieprecyzyjne. Wirus rozmnaża się, infekując pliki. Rootkit się ukrywa. W praktyce jedno i drugie często występuje razem.

Rodzaje rootkitów

Dwa przykłady pokazują skalę zjawiska. W 2005 roku głośno było o oprogramowaniu zabezpieczającym przed kopiowaniem na płytach CD Sony BMG, które instalowało się jak rootkit i ukrywało pliki. W 2023 roku badacze opisali bootkit UEFI BlackLotus, zdolny obejść Secure Boot na niezaktualizowanych systemach Windows.

Jak rootkit trafia na komputer

• razem z trojanem z załącznika, pirackiego programu, cracka lub „aktywatora” Windows,
• przez fałszywe aktualizacje i instalatory z przypadkowych stron,
• przez luki w niezaktualizowanym systemie lub sterownikach,
• po przejęciu konta administratora, na przykład przez wystawiony do internetu pulpit zdalny.

Szczególnie ryzykowne są nieoficjalne aktywatory i „poprawione” wersje Windows. Z zasady wymagają wyłączenia zabezpieczeń i uprawnień administratora, czyli dokładnie tego, czego potrzebuje rootkit.

Objawy infekcji rootkitem

Rootkit ma nie dawać objawów, ale często zdradza go szkodnik, którego ukrywa, albo walka z zabezpieczeniami:

• Zabezpieczenia Windows lub inny antywirus wyłączają się same albo nie dają się uruchomić,
• infekcja wraca mimo usunięcia przez skaner,
• Windows Update przestaje działać bez wyraźnego powodu,
• ruch sieciowy jest duży, choć nic nie pobierasz,
• pojawiają się niebieskie ekrany po instalacji „czegoś z internetu”,
• ustawienia zabezpieczeń zmieniają się z powrotem po Twojej zmianie.

Każdy z tych objawów może mieć niewinną przyczynę. Ogólny sposób sprawdzenia opisuję w poradniku jak sprawdzić, czy komputer jest zainfekowany.

Jak wykryć rootkita w Windows 10 i 11

1. Skanowanie offline Microsoft Defender

   Otwórz Zabezpieczenia Windows → Ochrona przed wirusami i zagrożeniami → Opcje skanowania, wybierz skanowanie offline programu Microsoft Defender Antivirus i kliknij przycisk uruchamiający skanowanie. Zapisz otwarte pliki. Komputer uruchomi się ponownie i przeskanuje dysk w środowisku odzyskiwania, zanim załaduje się Windows. Rootkit jest wtedy nieaktywny i nie może się bronić. Wyniki zobaczysz w Historii ochrony.

2. Skaner z nośnika ratunkowego

   Jeśli Defender nie działa lub masz inny antywirus, użyj płyty lub pendrive’a ratunkowego od renomowanego producenta antywirusa, przygotowanego na czystym komputerze. Zasada jest ta sama: skanowanie spoza zainfekowanego systemu.

3. Druga opinia z działającego systemu

   Jednorazowy skaner, na przykład darmowa wersja Malwarebytes, może wykryć elementy, które przeoczył pierwszy program. Pamiętaj jednak, że przy rootkicie jądra skanowanie z działającego Windows jest najmniej wiarygodne.

4. Przegląd autostartu

   Narzędzie Autoruns z pakietu Sysinternals firmy Microsoft pokazuje wszystkie miejsca automatycznego uruchamiania, w tym usługi i sterowniki. Opcja ukrywania podpisanych wpisów Microsoftu ułatwia znalezienie obcych elementów. To narzędzie dla zaawansowanych, nie usuwaj wpisów, których nie rozumiesz.

Jak usunąć rootkita

Jeśli skanowanie offline usunęło zagrożenie, a po restarcie skanery są czyste, Zabezpieczenia Windows działają i aktualizacje się instalują, zwykle to wystarczy. Zmień wtedy hasła z innego urządzenia, bo ukryty szkodnik mógł je wykraść.

Gdy wykryto rootkit jądra lub bootkit, infekcja wraca albo komputer służy do bankowości i pracy z danymi klientów, nie warto ryzykować. Najpewniejsza droga:

1. Skopiuj dane

   Dokumenty, zdjęcia, pliki pracy. Nie kopiuj programów, instalatorów i plików wykonywalnych, bo mogą przenieść infekcję.

2. Zrób czystą instalację Windows

   Z nośnika utworzonego na innym, czystym komputerze narzędziem Microsoftu, z usunięciem partycji systemowej. Opisuję to w poradniku jak sformatować i zainstalować Windows od zera. Funkcja „Resetuj ten komputer” z zachowaniem plików nie daje takiej pewności.

3. Zaktualizuj UEFI/BIOS

   Pobierz aktualizację firmware wyłącznie ze strony producenta płyty głównej lub laptopa. Przy podejrzeniu rootkita w firmware to jedyny sensowny krok, bo formatowanie dysku go nie usunie.

4. Sprawdź router

   Jeśli w sieci działo się coś dziwnego, zaktualizuj firmware routera, zresetuj go do ustawień fabrycznych i ustaw nowe, silne hasło administratora.

5. Zmień hasła i włącz weryfikację dwuetapową

   Z czystego urządzenia, zaczynając od poczty e-mail.

Jak chronić się przed rootkitami

• Secure Boot i TPM 2.0 – Secure Boot pozwala uruchomić tylko podpisane programy rozruchowe, co utrudnia bootkity. Oba mechanizmy są wymagane przez Windows 11, sprawdzisz to według poradnika czy komputer spełnia wymagania Windows 11.
• Integralność pamięci – w Zabezpieczenia Windows → Zabezpieczenia urządzenia → Szczegóły izolacji rdzenia włącz integralność pamięci. Utrudnia ona ładowanie złośliwych lub podatnych sterowników do jądra. Jeśli Windows zgłosi niezgodny sterownik, zaktualizuj go zamiast rezygnować z funkcji.
• Aktualizacje – systemu, sterowników i UEFI/BIOS. Windows 10 od 14 października 2025 nie dostaje bezpłatnych poprawek bezpieczeństwa.
• Praca na koncie standardowym – rootkit jądra potrzebuje uprawnień administratora. Konto bez nich to duża przeszkoda.
• Żadnych aktywatorów i pirackich programów – to najczęstsza droga rootkitów na domowe komputery.
• Kopia zapasowa – dzięki niej czysta instalacja to godzina pracy, a nie utrata danych.

Najczęstsze pytania

Powiązane wpisy

• Czym jest wirus trojan?
• Keylogger – co to jest i jak go wykryć
• Ransomware – co to jest i co zrobić po ataku
• Jak usunąć wirusa z komputera
• Koniec wsparcia Windows 10 – co to oznacza

Grzegorz Wojterzak – informatyk z Sieradza, od ponad 10 lat naprawia komputery i usuwa złośliwe oprogramowanie. Przy uporczywych infekcjach woli czystą instalację systemu niż wielogodzinne „łatanie”, bo tylko ona daje pewność.