Een rootkit verbergt zijn aanwezigheid en behoudt bevoorrechte toegang. De naam is afgeleid van 'root', het hoogste privilegeniveau op Unix-systemen, en 'kit', een verzameling gereedschappen. Een rootkit nestelt zich diep in het besturingssysteem. Het kan kernelstructuren wijzigen, systeemoproepen onderscheppen of legitieme binaire bestanden vervangen door getrojaniseerde versies. Het doel is om onzichtbaar te zijn. Antivirussoftware die afhankelijk is van het zien van bestanden en processen, kan niet zien wat de rootkit verbergt.

Rootkits bestaan ​​in verschillende vormen. Rootkits in gebruikersmodus onderscheppen API's om hun processen en bestanden te verbergen. Rootkits in kernelmodus patchen de kernel zelf, wat hen de hoogste mate van controle geeft. Bootkits infecteren de bootloader of firmware, waardoor ze laden vóór het besturingssysteem en een herinstallatie overleven. Hardware-rootkits bevinden zich in de firmware of apparaatcontrollers, waardoor ze extreem moeilijk te detecteren en te verwijderen zijn. Het Sony BMG-rootkitschandaal in 2005 liet zien hoe een legitiem bedrijf rootkit-achtige software kon inzetten. Sony's kopieerbeveiliging verborg zichzelf voor gebruikers en creëerde beveiligingslekken. De gevolgen waren heftig. Het detecteren van rootkits vereist gespecialiseerde tools die de systeemstatus vergelijken met bekende, betrouwbare referentiewaarden. Verwijdering betekent vaak het wissen van het systeem en een volledige herinstallatie. Je kunt een machine die door een rootkit is geïnfecteerd niet vertrouwen.

Rootkit-typen

• Gebruikersmodus — maakt gebruik van API's om processen en bestanden te verbergen.
• Kernelmodus — patcht de kernel voor diepgaande controle
• Bootkit — infecteert de bootloader en wordt geladen vóór het besturingssysteem.
• Firmware — zit in de hardware en blijft intact na herinstallatie.

Rootkits draaien om persistentie en heimelijkheid. Ze vormen niet de initiële aanval, maar zijn wat overblijft nadat de aanvaller zich heeft genesteld.