Che cos’è il rootkit e perché è difficile da trovare

Un rootkit è una categoria di software dannoso che cerca di nascondere componenti, attività o accessi non autorizzati. Può operare a livelli diversi del sistema e, in alcuni casi, rendere meno affidabili i normali controlli eseguiti dal dispositivo infetto. La presenza di rallentamenti o errori, da sola, non dimostra che ci sia un rootkit.

Computer con schermate digitali e attività informatiche, immagine illustrativa sui rootkit e sui malware difficili da individuare.

In breve

Se temi un’infezione, aggiorna gli strumenti di sicurezza e avvia una scansione con un prodotto affidabile. Se il sospetto resta, soprattutto su un computer di lavoro, evita di cancellare file di sistema manualmente e chiedi assistenza qualificata. In alcuni casi può essere necessario ripristinare il sistema da una fonte attendibile dopo aver protetto i dati.

Sintomi

Il computer si comporta in modo strano: processi che non riconosci, avvisi anomali
L’antivirus non rileva nulla ma il sistema resta instabile
Il computer è molto più lento del normale
Programmi che dovrebbero essere invisibili risultano visibili
Il computer è stato infettato da un programma scaricato per errore
Un programma di sicurezza non si aggiorna più

Cause più probabili

Il rootkit si installa nel nucleo del sistema, a un livello che i programmi di sicurezza non controllano
Sostituisce i file di sistema per nascondere la propria presenza
Può nascondere processi, file e connessioni anche dai task manager
Viene installato tipicamente da programmi crackati, portati apolid con il computer
Le difese preventive non lo fermano, perché il programma è già stato eseguito con i tuoi permessi

⚠️ Attenzione

Un rootkit è uno dei casi in cui reinstallare il sistema è la risposta più onesta: quando la compromissione arriva fino al nucleo del sistema, l’antivirus non ha più margine di azione. Prima però salva una copia dei tuoi file personali su un supporto esterno e valuta che cosa vale la pena conservare: reinstallare senza backup significa perdere tutto.

Procedura passo-passo

Perché può essere difficile da rilevare

Alcuni rootkit cercano di mascherare file, processi o modifiche al sistema, perciò una scansione ordinaria potrebbe non essere sufficiente in ogni scenario. Gli strumenti moderni possono rilevare molte minacce, ma nessun singolo controllo garantisce in assoluto l’assenza di infezioni.

Quali segnali osservare

Comportamenti anomali, avvisi di sicurezza o modifiche non autorizzate possono giustificare un controllo, ma hanno molte altre cause possibili. Non scaricare programmi che promettono di rilevare ogni rootkit né cancellare componenti di Windows sulla base di un nome sconosciuto.

Che cosa fare se hai un sospetto concreto

Disconnetti il dispositivo dalla rete se sospetti un accesso attivo non autorizzato.
Usa uno strumento di sicurezza aggiornato e proveniente dal produttore ufficiale.
Per Windows, valuta una scansione offline tramite Sicurezza di Windows, seguendo le istruzioni Microsoft.
Se il dispositivo contiene dati aziendali, avvisa il reparto IT e non tentare riparazioni autonome.
Proteggi gli account da un dispositivo ritenuto pulito se pensi che le credenziali siano state esposte.

Come prevenire le infezioni

Installa aggiornamenti di sicurezza, usa account con privilegi limitati per le attività quotidiane, scarica software da fonti ufficiali e mantieni backup separati. Diffida di allegati e programmi che richiedono permessi inattesi.

Fonte ufficiale

Supporto Microsoft Windows per gli strumenti di sicurezza e le scansioni offline.

⚠️ Se non funziona

Valuta di reinstallare il sistema da zero: è l’unica soluzione affidabile quando il nucleo è compromesso
Prima di reinstallare, salva su un supporto esterno solo i documenti e le foto, non i programmi
Cambia tutte le password, da un computer pulito e con una connessione sicura
Verifica che il computer da cui cambi le password non sia quello infettato
Se il rootkit è arrivato da un programma pirata, non reinstallare quel programma

Prevenzione

Non installare programmi da fonti non ufficiali, in particolare programmi “crackati” con licenza generata
Tieni aggiornati sistema e programmi
Usa un account non amministratore per l’uso quotidiano
Attiva la protezione del nucleo in Windows, se disponibile nel tuo sistema
Evita di eseguire programmi scaricati da link ricevuti per email o messaggio

Domande frequenti

Si può rimuovere un rootkit con un antivirus?

Non sempre. Un rootkit si installa a livello così profondo da rendere inaffidabili gli stessi controlli che dovrebbero rilevarlo, e in molti casi l’antivirus non ha margine di azione. Quando la compromissione arriva al nucleo del sistema, la soluzione più onesta è reinstallare tutto da una fonte attendibile. Prima però salva su un supporto esterno solo documenti e foto, e cambia tutte le password da un computer pulito.

Come faccio a capire se ho un rootkit?

Non esiste un controllo che lo accerti con certezza assoluta. I segnali che fanno sospettare un rootkit sono processi sconosciuti, avvisi anomali, programmi che dovrebbero essere invisibili ma compaiono, lentezza inspiegabile e un programma di sicurezza che non si aggiorna più. Se hai un sospetto concreto, aggiorna gli strumenti di sicurezza, avvia una scansione offline con Sicurezza di Windows e, se il dispositivo è aziendale, avvisa il reparto IT.

Fonti ufficiali

CISA: malware e sicurezza