Un rootkit își ascunde prezența și menține accesul privilegiat. Numele provine de la root, cel mai înalt nivel de privilegii pe sistemele Unix, și kit, un set de instrumente. Un rootkit se ascunde adânc în sistemul de operare. Poate modifica structurile kernelului, intercepta apeluri de sistem sau înlocui fișiere binare legitime cu versiuni troienizate. Scopul este să fie invizibil. Software-ul antivirus care se bazează pe vizualizarea fișierelor și proceselor nu poate vedea ce ascunde rootkit-ul.

Rootkit-urile vin în diferite forme. Rootkit-urile în modul utilizator conectează API-uri pentru a ascunde procesele și fișierele lor. Rootkit-urile în modul kernel aplică patch-uri pentru kernel-ul în sine, ceea ce le oferă cel mai înalt nivel de control. Bootkit-urile infectează bootloader-ul sau firmware-ul, astfel încât se încarcă înaintea sistemului de operare și supraviețuiesc reinstalării. Rootkit-urile hardware se află în firmware sau în controlerele de dispozitiv, ceea ce le face extrem de dificil de detectat și eliminat. Scandalul rootkit-urilor Sony BMG din 2005 a arătat cum o companie legitimă putea implementa software asemănător rootkit-urilor. Protecția împotriva copierii de la Sony s-a ascuns de utilizatori și a creat breșe de securitate. Reacțiile negative au fost severe. Detectarea rootkit-urilor necesită instrumente specializate care compară starea sistemului cu valorile de referință cunoscute ca fiind bune. Eliminarea înseamnă adesea ștergerea sistemului și reinstalarea de la zero. Nu poți avea încredere într-o mașină pe care a atins-o un rootkit.

Tipuri de rootkit-uri

• Mod utilizator — conectează API-uri pentru a ascunde procese și fișiere
• Kernel-mode — aplică patch-uri pe kernel pentru control profund
• Bootkit — infectează bootloader-ul, se încarcă înaintea sistemului de operare
• Firmware — se află în hardware, rezistă reinstalării

Rootkit-urile se bazează pe persistență și ascundere. Nu reprezintă atacul inițial. Sunt ceea ce rămâne după ce atacatorul s-a instalat.