Rootkit to rodzaj złośliwego oprogramowania, którego celem jest ukrycie obecności atakującego i utrzymanie kontroli nad systemem. Charakterystyczne jest to, że rootkit może wpływać na to, co "widzi" system i użytkownik: listę procesów, plików, wpisów rejestru czy połączeń sieciowych. Z tego powodu praca w już uruchomionym, podejrzanym systemie bywa obarczona ryzykiem błędnej diagnozy.
Dlaczego uruchomienie specjalnego programu z zewnętrznego nośnika jest najmniej inwazyjne i skuteczne?
- Najmniej inwazyjne – nie wymaga kasowania danych ani pełnej reinstalacji; celem jest diagnostyka i usunięcie zagrożenia z minimalną ingerencją.
- Skuteczne – uruchomienie systemu ratunkowego/środowiska Live pozwala skanować dyski, gdy podejrzany system nie jest aktywny, co ogranicza zdolność rootkita do ukrywania się.
- Zaufane środowisko – narzędzie startuje z nośnika, który nie był modyfikowany przez infekcję, więc wyniki skanowania są zwykle bardziej wiarygodne.
Dlaczego pozostałe odpowiedzi są błędne?
- Usunięcie procesów w Menadżerze zadań – rootkit może ukrywać proces, automatycznie go wznawiać albo działać na poziomie, którego Menadżer nie pokaże. To metoda doraźna i często nieskuteczna.
- Przeinstalowanie systemu operacyjnego – bywa skuteczne, ale nie spełnia warunku "najmniej inwazyjne", bo oznacza dużą ingerencję, przerwy w pracy i ryzyko utraty konfiguracji/danych (jeśli nie ma kopii).
- Zainstalowanie najlepszego AV i czekanie – podejście "z czasem samo wykryje" jest ryzykowne: rootkit może blokować mechanizmy ochrony, ukrywać artefakty i działać dalej. Reakcja powinna być aktywna, a nie odłożona w czasie.
Wskazówka egzaminacyjna: gdy w pytaniu pojawia się zagrożenie typu rootkit i jednocześnie mowa o skuteczności, zwykle kluczowe jest uruchomienie skanowania poza zainfekowanym systemem (offline/bootowalny nośnik), bo zmniejsza to wpływ malware na wynik diagnostyki.
