Rootkits : 5 types majeurs que tout utilisateur doit connaître

Introduction

Dans l'univers des malwares, les rootkits sont parmi les plus redoutables. Conçus pour s'emparer du contrôle total du système (niveau « root » / administrateur), ils désactivent les antivirus, se cachent dans les recoins les plus profonds de l'OS, et persistent après redémarrage. Si votre PC ralentit inexplicablement, affiche des écrans bleus (BSOD) ou comporte des anomalies inexpliquées, un rootkit peut en être la cause — souvent introduit par phishing ou ingénierie sociale. Voici les 5 catégories principales.

1. Rootkits en mode utilisateur (User Mode)

Ils infectent les exécutables d'applications courantes (Paint, Excel, Notepad, navigateurs). Activation dès le lancement de l'application. L'utilisateur voit l'app fonctionner normalement, mais le rootkit donne un accès partiel à l'attaquant. Détection : plus faciles — un bon antivirus/EDR les repère car ils ne touchent pas le noyau. Exemples connus : Hacker Defender, Aphex, Vanquish.

2. Rootkits en mode noyau (Kernel Mode)

Bien plus insidieux : ils s'insèrent dans le noyau du système d'exploitation. Ils peuvent ajouter/supprimer des fonctions système, installer d'autres malwares, voler des données, transformer la machine en botnet. Exemple marquant : ZeroAccess (2011), +2 millions de PC infectés, spécialisé dans le recrutement pour click-fraud et minage crypto. Téléchargeait/installait silencieusement des modules additionnels.

3. Rootkits au niveau du chargeur de démarrage (Bootloader / Bootkit)

Ils ne touchent pas aux fichiers, mais infectent le MBR (Master Boot Record) ou le VBR (Volume Boot Record). Ils se chargent avant l'OS, contrôlant ainsi le démarrage complet. Invisibles pour la plupart des antivirus qui scannent après le boot. Exemples : Stoned Bootkit, Rovnix, Olmasco. Nécessitent des outils de scan « offline » (Windows Defender Offline, Kaspersky Rescue Disk) ou une réinstallation propre.

4. Rootkits en mémoire (Memory Rootkits)

Ils résident uniquement dans la RAM, consomment les ressources pour exécuter leur code malveillant. Symptôme principal : ralentissement marqué. Point faible : ils ne survivent pas au redémarrage (la RAM est volatile). Un simple reboot les élimine — mais l'infection initiale (souvent via exploit) peut les réinjecter si la faille n'est pas corrigée.

5. Rootkits au niveau du firmware (Firmware Rootkits)

Les plus difficiles à éradiquer. Ils infectent le BIOS/UEFI, le contrôleur de disque dur/SSD, la carte réseau, le routeur. Persistent après formatage, remplacement du disque, réinstallation de l'OS. Capacités : keylogging, surveillance réseau, injection de code au boot. Exemple réel : l'attaque de 2008 (Pakistan/Chine) via firmware de terminaux de paiement — vol de millions de numéros de cartes bancaires, pertes de dizaines de millions de dollars.

Comment se protéger ?

• Maintenez l'OS, le firmware (BIOS/UEFI) et les pilotes à jour (correctifs de failles d'élévation de privilèges).
• Activez le Secure Boot (UEFI) et le TPM 2.0 (vérification d'intégrité du boot).
• Utilisez un EDR/XDR moderne (pas seulement un AV signature-based) avec détection comportementale et scan mémoire.
• Pratiquez l'hygiène numérique : pas de clic sur pièces jointes suspectes, pas de logiciels crackés, mots de passe forts + 2FA.
• En cas de suspicion : scan offline (Windows Defender Offline, Malwarebytes Anti-Rootkit), puis réinstallation complète si compromis noyau/firmware avéré.

Conclusion

Les rootkits exploitent la confiance aveugle du système en ses propres composants bas-niveau. La défense en profondeur (firmware signé, Secure Boot, EDR, hygiène utilisateur) reste la seule parade efficace. La prévention coûte infiniment moins cher que la décontamination d'un firmware rootkit.