Un rootkit oculta su presencia y mantiene acceso privilegiado. Su nombre proviene de "root", el nivel de privilegio más alto en sistemas Unix, y "kit", un conjunto de herramientas. Un rootkit se integra profundamente en el sistema operativo. Puede modificar la estructura del kernel, interceptar llamadas al sistema o reemplazar binarios legítimos con versiones troyanizadas. Su objetivo es ser invisible. El software antivirus, que depende de la visualización de archivos y procesos, no puede detectar lo que oculta el rootkit.

Los rootkits se presentan en diferentes formas. Los rootkits en modo usuario interceptan las API para ocultar sus procesos y archivos. Los rootkits en modo kernel modifican el kernel, lo que les otorga el máximo control. Los bootkits infectan el gestor de arranque o el firmware, por lo que se cargan antes que el sistema operativo y sobreviven a la reinstalación. Los rootkits de hardware residen en el firmware o los controladores de dispositivos, lo que los hace extremadamente difíciles de detectar y eliminar. El escándalo del rootkit de Sony BMG en 2005 demostró cómo una empresa legítima podía implementar software similar a un rootkit. La protección anticopia de Sony se ocultaba a los usuarios y creaba vulnerabilidades de seguridad. La reacción fue severa. Detectar rootkits requiere herramientas especializadas que comparan el estado del sistema con configuraciones de referencia seguras. La eliminación a menudo implica borrar el sistema y reinstalarlo desde cero. No se puede confiar en una máquina que ha sido afectada por un rootkit.

Tipos de rootkit

• Modo de usuario: intercepta las API para ocultar procesos y archivos.
• Modo kernel: modifica el kernel para un control profundo.
• Bootkit: infecta el gestor de arranque y se carga antes del sistema operativo.
• El firmware reside en el hardware y sobrevive a la reinstalación.

Los rootkits se basan en la persistencia y el sigilo. No son el ataque inicial, sino lo que queda después de que el atacante se haya instalado.