A rootkit elrejti jelenlétét, és privilegizált hozzáférést tart fenn. A név a „root” (a Unix rendszerek legmagasabb jogosultsági szintje) és a „kit” (eszközkészlet) szavak összetételéből ered. A rootkit mélyen beássa magát az operációs rendszerbe. Módosíthatja a kernel struktúráit, elfoghatja a rendszerhívásokat, vagy a legitim bináris fájlokat trójai verziókkal helyettesítheti. A cél a láthatatlanság. A fájlok és folyamatok látására támaszkodó víruskereső szoftverek nem láthatják, hogy mit rejt a rootkit.

A rootkitek különböző formákban léteznek. A felhasználói módú rootkitek API-khoz kapcsolódnak, hogy elrejtsék folyamataikat és fájljaikat. A kernel módú rootkitek magát a kernelt foltozzák, ami a legmagasabb szintű kontrollt biztosítja számukra. A bootkitek megfertőzik a rendszerbetöltőt vagy a firmware-t, így az operációs rendszer előtt töltődnek be, és túlélik az újratelepítést. A hardveres rootkitek firmware-ben vagy eszközvezérlőkben találhatók, ami rendkívül megnehezíti az észlelésüket és eltávolításukat. A 2005-ös Sony BMG rootkit-botrány megmutatta, hogyan képes egy legitim vállalat rootkit-szerű szoftvereket telepíteni. A Sony másolásvédelme elrejtette magát a felhasználók elől, és biztonsági réseket teremtett. A visszhang súlyos volt. A rootkitek észleléséhez speciális eszközökre van szükség, amelyek összehasonlítják a rendszerállapotot az ismert, jó alapállapotokkal. Az eltávolítás gyakran a rendszer törlését és a nulláról történő újratelepítést jelenti. Nem bízhatsz meg egy olyan gépben, amelyet egy rootkit megérintett.

Rootkit-típusok

• Felhasználói mód – API-kat kapcsol a folyamatok és fájlok elrejtéséhez
• Kernel mód — javítja a kernelt a mélyebb kontroll érdekében
• Bootkit – megfertőzi a rendszerbetöltőt, az operációs rendszer előtt töltődik be
• Firmware – hardverben él, túléli az újratelepítést

A rootkitek a kitartásról és a lopakodásról szólnak. Nem ezek jelentik az elsődleges támadást, hanem azok, amelyek a támadó betelepedése után is megmaradnak.