Um rootkit oculta a sua presença e mantém um acesso privilegiado. O nome vem de root, o nível de privilégio mais elevado nos sistemas Unix, e kit, um conjunto de ferramentas. Um rootkit instala-se profundamente no sistema operativo. Pode modificar estruturas do kernel, intercetar chamadas de sistema ou substituir binários legítimos por versões trojanizadas. O objetivo é ser invisível. Os softwares antivírus que dependem da visualização de ficheiros e processos não conseguem detetar o que o rootkit oculta.

Os rootkits podem assumir diferentes formas. Os rootkits de modo de utilizador intercetam APIs para ocultar os seus processos e ficheiros. Os rootkits de modo kernel modificam o próprio kernel, o que lhes confere o mais alto nível de controlo. Os bootkits infectam o bootloader ou o firmware, sendo carregados antes do sistema operativo e resistindo à reinstalação. Os rootkits de hardware residem no firmware ou nos controladores do dispositivo, o que os torna extremamente difíceis de detetar e remover. O escândalo do rootkit da Sony BMG em 2005 mostrou como uma empresa legítima poderia implementar um software semelhante a um rootkit. A proteção contra cópia da Sony ocultava-se dos utilizadores e criava falhas de segurança. A reação negativa foi severa. A deteção de rootkits requer ferramentas especializadas que comparam o estado do sistema com padrões de referência fiáveis. A remoção geralmente significa formatar o sistema e reinstalá-lo de raiz. Não se pode confiar numa máquina que tenha sido afetada por um rootkit.

Tipos de rootkit

• Modo de utilizador — utiliza APIs para ocultar processos e ficheiros.
• Modo kernel — modifica o kernel para controlo profundo.
• Bootkit — infecta o carregador de arranque e é carregado antes do sistema operativo.
• Firmware — reside no hardware, sobrevive à reinstalação

Os rootkits têm como objetivo a persistência e o sigilo. Não são o ataque inicial, mas sim o que resta depois de o atacante se instalar no sistema.