루트킷은 존재를 숨기고 최고 권한으로 시스템에 접근합니다. 이름은 유닉스 시스템에서 가장 높은 권한을 뜻하는 '루트(root)'와 도구 모음을 뜻하는 '킷(kit)'에서 유래했습니다. 루트킷은 운영체제 깊숙이 숨어들어 커널 구조를 수정하거나, 시스템 호출을 가로채거나, 정상적인 바이너리 파일을 트로이목마화된 버전으로 바꿔치기할 수 있습니다. 루트킷의 목표는 눈에 띄지 않는 것입니다. 파일과 프로세스를 탐지하는 방식의 안티바이러스 소프트웨어는 루트킷이 숨기고 있는 것을 감지할 수 없습니다.

루트킷은 여러 형태로 존재합니다. 사용자 모드 루트킷은 API를 후킹하여 프로세스와 파일을 숨깁니다. 커널 모드 루트킷은 커널 자체를 패치하여 최고 수준의 제어 권한을 확보합니다. 부트킷은 부트로더 또는 펌웨어를 감염시켜 운영체제보다 먼저 로드되도록 하며 재설치 후에도 살아남습니다. 하드웨어 루트킷은 펌웨어 또는 장치 컨트롤러에 존재하기 때문에 탐지 및 제거가 매우 어렵습니다. 2005년 소니 BMG 루트킷 스캔들은 합법적인 회사가 어떻게 루트킷과 유사한 소프트웨어를 배포할 수 있는지를 보여주었습니다. 소니의 복제 방지 기능은 사용자에게 숨겨져 보안 취약점을 만들었습니다. 그 여파는 매우 컸습니다. 루트킷을 탐지하려면 시스템 상태를 알려진 정상 상태와 비교하는 특수 도구가 필요합니다. 제거하려면 시스템을 완전히 초기화하고 처음부터 다시 설치해야 하는 경우가 많습니다. 루트킷에 감염된 기기는 절대 신뢰할 수 없습니다.

루트킷 유형

• 사용자 모드 — 프로세스와 파일을 숨기기 위해 API를 후킹합니다.
• 커널 모드 — 심층 제어를 위해 커널을 패치합니다.
• 부트킷 — 부트로더를 감염시켜 운영체제보다 먼저 로드됩니다.
• 펌웨어는 하드웨어에 저장되며 재설치 후에도 유지됩니다.

루트킷은 지속성과 은밀성을 특징으로 합니다. 루트킷은 최초 공격이 아닙니다. 공격자가 시스템에 자리를 잡은 후 남는 흔적입니다.