Rootkit menyembunyikan keberadaannya dan mempertahankan akses istimewa. Nama tersebut berasal dari root, tingkat hak akses tertinggi pada sistem Unix, dan kit, seperangkat alat. Rootkit membenamkan dirinya jauh di dalam sistem operasi. Ia dapat memodifikasi struktur kernel, mencegat panggilan sistem, atau mengganti biner yang sah dengan versi trojan. Tujuannya adalah untuk tidak terlihat. Perangkat lunak antivirus yang bergantung pada penglihatan file dan proses tidak dapat melihat apa yang disembunyikan rootkit.

Rootkit hadir dalam berbagai bentuk. Rootkit mode pengguna (user-mode rootkit) mengaitkan API untuk menyembunyikan proses dan file mereka. Rootkit mode kernel (kernel-mode rootkit) menambal kernel itu sendiri, yang memberi mereka tingkat kontrol tertinggi. Bootkit menginfeksi bootloader atau firmware, sehingga mereka dimuat sebelum sistem operasi dan tetap ada setelah instalasi ulang. Rootkit perangkat keras (hardware rootkit) berada di firmware atau pengontrol perangkat, yang membuatnya sangat sulit untuk dideteksi dan dihapus. Skandal rootkit Sony BMG pada tahun 2005 menunjukkan bagaimana perusahaan yang sah dapat menyebarkan perangkat lunak mirip rootkit. Perlindungan salinan Sony menyembunyikan dirinya dari pengguna dan menciptakan celah keamanan. Reaksi negatifnya sangat parah. Mendeteksi rootkit membutuhkan alat khusus yang membandingkan keadaan sistem dengan baseline yang diketahui baik. Penghapusan seringkali berarti menghapus sistem dan menginstal ulang dari awal. Anda tidak dapat mempercayai mesin yang telah disentuh oleh rootkit.

Jenis-jenis rootkit

• Mode pengguna — menggunakan API untuk menyembunyikan proses dan file.
• Kernel-mode — menambal kernel untuk kontrol mendalam
• Bootkit — menginfeksi bootloader, dimuat sebelum sistem operasi.
• Firmware — berada di dalam perangkat keras, tetap ada meskipun diinstal ulang.

Rootkit berfokus pada persistensi dan penyembunyian. Rootkit bukanlah serangan awal, melainkan apa yang tersisa setelah penyerang berhasil menguasai sistem.