Aktualizacja: październik 2026
- Co to jest
- Złośliwe oprogramowanie, które ukrywa siebie i inne zagrożenia przed systemem i antywirusem
- Typowy sygnał
- Antywirus sam się wyłącza, a infekcja wraca mimo czyszczenia
- Najskuteczniejsze wykrywanie
- Skanowanie offline przed startem Windows
- Czy zrobisz to sam?
- Skanowanie tak. Przy rootkicie w jądrze lub firmware najpewniejsza jest czysta instalacja
Szybka odpowiedź
Rootkit to złośliwe oprogramowanie, które ukrywa swoją obecność w systemie, a często także innych zagrożeń, i daje atakującemu trwały, uprzywilejowany dostęp do komputera. Ściśle biorąc, to nie wirus, tylko technika ukrywania używana przez trojany, keyloggery i inne szkodniki. Najlepiej wykrywa się go skanowaniem offline Microsoft Defender, które działa przed uruchomieniem Windows. Gdy rootkit siedzi głęboko w jądrze systemu, najpewniejszym rozwiązaniem jest kopia danych i czysta instalacja Windows, a przed nowymi atakami chronią Secure Boot, TPM i integralność pamięci.
Rootkity są mniej liczne niż zwykłe złośliwe programy, ale groźniejsze. Gdy działają, system sam „kłamie”: lista procesów, pliki na dysku i wyniki skanowania wyglądają czysto, bo rootkit filtruje to, co widzisz. Dlatego w tym poradniku skupiam się na tym, jak sprawdzić komputer z zewnątrz, czyli zanim rootkit się uruchomi, i kiedy nie warto walczyć, tylko zainstalować system od nowa.
Co to jest rootkit
Nazwa łączy słowa root (konto z najwyższymi uprawnieniami w systemach uniksowych) i kit (zestaw narzędzi). Rootkit to więc zestaw narzędzi, który pozwala utrzymać najwyższe uprawnienia na komputerze i ukryć ten fakt. Sam w sobie nie musi niczego kraść. Zwykle jest „płaszczem” dla innego szkodnika: trojana zdalnego dostępu, keyloggera lub programu dołączającego komputer do botnetu.
Dlatego potoczne określenie „wirus rootkit” jest nieprecyzyjne. Wirus rozmnaża się, infekując pliki. Rootkit się ukrywa. W praktyce jedno i drugie często występuje razem.
Rodzaje rootkitów
| Rodzaj | Gdzie działa | Trudność wykrycia i usunięcia |
|---|---|---|
| Aplikacyjny (tryb użytkownika) | Podmienia lub wstrzykuje się do zwykłych programów i bibliotek | Średnia, antywirus zwykle sobie radzi |
| Pamięciowy | Tylko w pamięci RAM, znika po restarcie, ale może być ładowany ponownie przez inny element infekcji | Średnia, ważne jest znalezienie mechanizmu, który go uruchamia |
| Jądra (kernel) | Jako sterownik w jądrze systemu, z najwyższymi uprawnieniami | Wysoka, może oszukiwać antywirus działający w tym samym systemie |
| Bootkit | W programie rozruchowym, uruchamia się przed Windows | Wysoka, pomaga Secure Boot i skanowanie offline |
| Firmware (UEFI/BIOS, router, dysk) | W oprogramowaniu układowym płyty głównej lub urządzenia | Bardzo wysoka, przetrwa formatowanie dysku. Na szczęście rzadki u zwykłych użytkowników |
Dwa przykłady pokazują skalę zjawiska. W 2005 roku głośno było o oprogramowaniu zabezpieczającym przed kopiowaniem na płytach CD Sony BMG, które instalowało się jak rootkit i ukrywało pliki. W 2023 roku badacze opisali bootkit UEFI BlackLotus, zdolny obejść Secure Boot na niezaktualizowanych systemach Windows.
Jak rootkit trafia na komputer
- razem z trojanem z załącznika, pirackiego programu, cracka lub „aktywatora” Windows,
- przez fałszywe aktualizacje i instalatory z przypadkowych stron,
- przez luki w niezaktualizowanym systemie lub sterownikach,
- po przejęciu konta administratora, na przykład przez wystawiony do internetu pulpit zdalny.
Szczególnie ryzykowne są nieoficjalne aktywatory i „poprawione” wersje Windows. Z zasady wymagają wyłączenia zabezpieczeń i uprawnień administratora, czyli dokładnie tego, czego potrzebuje rootkit.
Objawy infekcji rootkitem
Rootkit ma nie dawać objawów, ale często zdradza go szkodnik, którego ukrywa, albo walka z zabezpieczeniami:
- Zabezpieczenia Windows lub inny antywirus wyłączają się same albo nie dają się uruchomić,
- infekcja wraca mimo usunięcia przez skaner,
- Windows Update przestaje działać bez wyraźnego powodu,
- ruch sieciowy jest duży, choć nic nie pobierasz,
- pojawiają się niebieskie ekrany po instalacji „czegoś z internetu”,
- ustawienia zabezpieczeń zmieniają się z powrotem po Twojej zmianie.
Każdy z tych objawów może mieć niewinną przyczynę. Ogólny sposób sprawdzenia opisuję w poradniku jak sprawdzić, czy komputer jest zainfekowany.
Jak wykryć rootkita w Windows 10 i 11
- Skanowanie offline Microsoft Defender
Otwórz
Zabezpieczenia Windows → Ochrona przed wirusami i zagrożeniami → Opcje skanowania, wybierz skanowanie offline programu Microsoft Defender Antivirus i kliknij przycisk uruchamiający skanowanie. Zapisz otwarte pliki. Komputer uruchomi się ponownie i przeskanuje dysk w środowisku odzyskiwania, zanim załaduje się Windows. Rootkit jest wtedy nieaktywny i nie może się bronić. Wyniki zobaczysz w Historii ochrony. - Skaner z nośnika ratunkowego
Jeśli Defender nie działa lub masz inny antywirus, użyj płyty lub pendrive’a ratunkowego od renomowanego producenta antywirusa, przygotowanego na czystym komputerze. Zasada jest ta sama: skanowanie spoza zainfekowanego systemu.
- Druga opinia z działającego systemu
Jednorazowy skaner, na przykład darmowa wersja Malwarebytes, może wykryć elementy, które przeoczył pierwszy program. Pamiętaj jednak, że przy rootkicie jądra skanowanie z działającego Windows jest najmniej wiarygodne.
- Przegląd autostartu
Narzędzie Autoruns z pakietu Sysinternals firmy Microsoft pokazuje wszystkie miejsca automatycznego uruchamiania, w tym usługi i sterowniki. Opcja ukrywania podpisanych wpisów Microsoftu ułatwia znalezienie obcych elementów. To narzędzie dla zaawansowanych, nie usuwaj wpisów, których nie rozumiesz.
Jak usunąć rootkita
Jeśli skanowanie offline usunęło zagrożenie, a po restarcie skanery są czyste, Zabezpieczenia Windows działają i aktualizacje się instalują, zwykle to wystarczy. Zmień wtedy hasła z innego urządzenia, bo ukryty szkodnik mógł je wykraść.
Gdy wykryto rootkit jądra lub bootkit, infekcja wraca albo komputer służy do bankowości i pracy z danymi klientów, nie warto ryzykować. Najpewniejsza droga:
- Skopiuj dane
Dokumenty, zdjęcia, pliki pracy. Nie kopiuj programów, instalatorów i plików wykonywalnych, bo mogą przenieść infekcję.
- Zrób czystą instalację Windows
Z nośnika utworzonego na innym, czystym komputerze narzędziem Microsoftu, z usunięciem partycji systemowej. Opisuję to w poradniku jak sformatować i zainstalować Windows od zera. Funkcja „Resetuj ten komputer” z zachowaniem plików nie daje takiej pewności.
- Zaktualizuj UEFI/BIOS
Pobierz aktualizację firmware wyłącznie ze strony producenta płyty głównej lub laptopa. Przy podejrzeniu rootkita w firmware to jedyny sensowny krok, bo formatowanie dysku go nie usunie.
- Sprawdź router
Jeśli w sieci działo się coś dziwnego, zaktualizuj firmware routera, zresetuj go do ustawień fabrycznych i ustaw nowe, silne hasło administratora.
- Zmień hasła i włącz weryfikację dwuetapową
Z czystego urządzenia, zaczynając od poczty e-mail.
Jak chronić się przed rootkitami
- Secure Boot i TPM 2.0 – Secure Boot pozwala uruchomić tylko podpisane programy rozruchowe, co utrudnia bootkity. Oba mechanizmy są wymagane przez Windows 11, sprawdzisz to według poradnika czy komputer spełnia wymagania Windows 11.
- Integralność pamięci – w
Zabezpieczenia Windows → Zabezpieczenia urządzenia → Szczegóły izolacji rdzeniawłącz integralność pamięci. Utrudnia ona ładowanie złośliwych lub podatnych sterowników do jądra. Jeśli Windows zgłosi niezgodny sterownik, zaktualizuj go zamiast rezygnować z funkcji. - Aktualizacje – systemu, sterowników i UEFI/BIOS. Windows 10 od 14 października 2025 nie dostaje bezpłatnych poprawek bezpieczeństwa.
- Praca na koncie standardowym – rootkit jądra potrzebuje uprawnień administratora. Konto bez nich to duża przeszkoda.
- Żadnych aktywatorów i pirackich programów – to najczęstsza droga rootkitów na domowe komputery.
- Kopia zapasowa – dzięki niej czysta instalacja to godzina pracy, a nie utrata danych.
Microsoft wymienia certyfikaty używane przez Secure Boot. Starsze certyfikaty z 2011 roku wygasają od czerwca 2026 (pierwsze 24 i 27 czerwca), a certyfikat podpisujący program rozruchowy Windows 19 października 2026. Większość komputerów dostaje nowe certyfikaty automatycznie z Windows Update, część wymaga aktualizacji firmware od producenta. Komputer bez nowych certyfikatów nadal się uruchomi i dostanie zwykłe aktualizacje, ale nie dostanie nowych zabezpieczeń wczesnego etapu rozruchu, czyli właśnie tych, które chronią przed bootkitami. Instaluj więc aktualizacje Windows i sprawdź na stronie producenta, czy jest nowy BIOS.
Antywirus się wyłącza, a infekcja wraca?
Sprawdzę komputer skanowaniem spoza systemu, a jeśli trzeba, skopiuję dane, zaktualizuję BIOS i zainstaluję Windows od nowa, tak żeby nic nie przetrwało. Pomagam zdalnie albo na miejscu w Sieradzu i okolicach.
Najczęstsze pytania
Czy rootkit to wirus?
Nie w ścisłym sensie. Wirus rozmnaża się, infekując pliki, a rootkit to technika ukrywania złośliwego oprogramowania i utrzymywania uprawnień administratora. Rootkity zwykle towarzyszą trojanom, keyloggerom i innym szkodnikom.
Czy Windows Defender wykrywa rootkity?
Tak, a najskuteczniej w trybie skanowania offline, które działa przed uruchomieniem Windows. Uruchomisz je w Zabezpieczeniach Windows, w sekcji Ochrona przed wirusami i zagrożeniami, Opcje skanowania.
Czy formatowanie dysku usuwa rootkita?
Czysta instalacja z usunięciem partycji usuwa rootkity działające w systemie i bootkity na dysku. Nie usunie rootkita w firmware płyty głównej, dlatego przy takim podejrzeniu trzeba też zaktualizować UEFI/BIOS z witryny producenta.
Jak sprawdzić, czy mam rootkita?
Uruchom skanowanie offline Microsoft Defender, a jako drugą opinię jednorazowy skaner innego producenta lub nośnik ratunkowy. Sygnałem ostrzegawczym jest antywirus, który sam się wyłącza, i infekcja wracająca po czyszczeniu.
Czy rootkit może być na telefonie?
Może, ale u zwykłych użytkowników zdarza się rzadko, zwykle po zrootowaniu Androida, jailbreaku iPhone’a lub instalacji aplikacji spoza oficjalnego sklepu. Aktualny system i aplikacje tylko ze sklepu znacząco zmniejszają ryzyko.
Powiązane wpisy
