Ένα rootkit κρύβει την παρουσία του και διατηρεί προνομιακή πρόσβαση. Το όνομα προέρχεται από το root, το υψηλότερο επίπεδο δικαιωμάτων σε συστήματα Unix, και το kit, ένα σύνολο εργαλείων. Ένα rootkit κρύβεται βαθιά στο λειτουργικό σύστημα. Μπορεί να τροποποιήσει δομές πυρήνα, να αναχαιτίσει κλήσεις συστήματος ή να αντικαταστήσει νόμιμα δυαδικά αρχεία με εκδόσεις που έχουν μολυνθεί με trojan. Ο στόχος είναι να είναι αόρατο. Το λογισμικό προστασίας από ιούς που βασίζεται στην προβολή αρχείων και διεργασιών δεν μπορεί να δει τι κρύβει το rootkit.

Τα rootkits διατίθενται σε διαφορετικές μορφές. Τα rootkits λειτουργίας χρήστη συνδέουν τα API για να αποκρύψουν τις διεργασίες και τα αρχεία τους. Τα rootkits λειτουργίας πυρήνα επιδιορθώνουν τον ίδιο τον πυρήνα, γεγονός που τους παρέχει το υψηλότερο επίπεδο ελέγχου. Τα bootkit μολύνουν τον bootloader ή το firmware, επομένως φορτώνουν πριν από το λειτουργικό σύστημα και επιβιώνουν από την επανεγκατάσταση. Τα rootkit υλικού βρίσκονται σε ελεγκτές firmware ή συσκευών, γεγονός που καθιστά εξαιρετικά δύσκολο τον εντοπισμό και την αφαίρεσή τους. Το σκάνδαλο rootkit της Sony BMG το 2005 έδειξε πώς μια νόμιμη εταιρεία θα μπορούσε να αναπτύξει λογισμικό παρόμοιο με rootkit. Η προστασία αντιγραφής της Sony κρύφτηκε από τους χρήστες και δημιούργησε κενά ασφαλείας. Η αντίδραση ήταν σοβαρή. Η ανίχνευση rootkit απαιτεί εξειδικευμένα εργαλεία που συγκρίνουν την κατάσταση του συστήματος με τις γνωστές-καλές γραμμές βάσης. Η αφαίρεση συχνά σημαίνει διαγραφή του συστήματος και επανεγκατάσταση από την αρχή. Δεν μπορείτε να εμπιστευτείτε ένα μηχάνημα που έχει αγγίξει ένα rootkit.

Τύποι rootkit

• Λειτουργία χρήστη — συνδέει API για την απόκρυψη διεργασιών και αρχείων
• Λειτουργία πυρήνα — ενημερώσεις κώδικα για τον πυρήνα για βαθύ έλεγχο
• Bootkit — μολύνει τον bootloader, φορτώνει πριν από το λειτουργικό σύστημα
• Υλικολογισμικό — υπάρχει στο υλικό, επιβιώνει μετά την επανεγκατάσταση

Τα rootkits αφορούν την επιμονή και την μυστικότητα. Δεν αποτελούν την αρχική επίθεση. Είναι αυτό που απομένει αφού ο εισβολέας εγκατασταθεί.