Et rootkit skjuler sin tilstedeværelse og opprettholder privilegert tilgang. Navnet kommer fra root, det høyeste privilegienivået på Unix-systemer, og kit, et sett med verktøy. Et rootkit begraver seg dypt i operativsystemet. Det kan endre kjernestrukturer, avskjære systemkall eller erstatte legitime binærfiler med trojaniserte versjoner. Målet er å være usynlig. Antivirusprogramvare som er avhengig av å se filer og prosesser, kan ikke se hva rootkit skjuler.

Rootkits finnes i forskjellige former. Brukermodus-rootkits kobler seg til API-er for å skjule prosesser og filer. Kjernemodus-rootkits oppdaterer selve kjernen, noe som gir dem det høyeste kontrollnivået. Bootkits infiserer bootloaderen eller firmware, slik at de lastes inn før operativsystemet og overlever reinstallasjon. Maskinvare-rootkits ligger i firmware- eller enhetskontrollere, noe som gjør dem ekstremt vanskelige å oppdage og fjerne. Sony BMG rootkit-skandalen i 2005 viste hvordan et legitimt selskap kunne distribuere rootkit-lignende programvare. Sonys kopibeskyttelse skjulte seg for brukere og skapte sikkerhetshull. Motreaksjonen var alvorlig. Å oppdage rootkits krever spesialiserte verktøy som sammenligner systemtilstanden mot kjente grunnlinjer. Fjerning betyr ofte å slette systemet og installere det på nytt fra bunnen av. Du kan ikke stole på en maskin som et rootkit har berørt.

Rootkit-typer

• Brukermodus – kobler API-er for å skjule prosesser og filer
• Kjernemodus – oppdaterer kjernen for dyp kontroll
• Bootkit – infiserer bootloaderen, laster inn før operativsystemet
• Fastvare – lever i maskinvaren, overlever reinstallasjon

Rootkits handler om utholdenhet og snikende egenskaper. De er ikke det første angrepet. De er det som gjenstår etter at angriperen har slått seg til ro.