Rootkit, varlığını gizler ve ayrıcalıklı erişimi korur. Adı, Unix sistemlerindeki en yüksek ayrıcalık düzeyi olan root ve bir araç seti olan kit kelimelerinden gelir. Rootkit, işletim sisteminin derinliklerine gömülür. Çekirdek yapılarını değiştirebilir, sistem çağrılarını engelleyebilir veya yasal ikili dosyaları truva atı bulaşmış sürümlerle değiştirebilir. Amaç görünmez olmaktır. Dosyaları ve işlemleri görmeye dayanan antivirüs yazılımları, rootkit'in gizlediği şeyleri göremez.

Rootkit'ler farklı biçimlerde karşımıza çıkar. Kullanıcı modu rootkit'leri, süreçlerini ve dosyalarını gizlemek için API'lere müdahale eder. Çekirdek modu rootkit'leri, çekirdeğin kendisini yamalayarak en yüksek kontrol seviyesine ulaşır. Bootkit'ler, önyükleyiciyi veya aygıt yazılımını enfekte eder, bu nedenle işletim sisteminden önce yüklenir ve yeniden kurulumdan sonra da varlığını sürdürür. Donanım rootkit'leri, aygıt yazılımında veya aygıt denetleyicilerinde bulunur, bu da onları tespit etmeyi ve kaldırmayı son derece zorlaştırır. 2005'teki Sony BMG rootkit skandalı, meşru bir şirketin nasıl rootkit benzeri yazılımlar dağıtabileceğini gösterdi. Sony'nin kopyalama koruması kendisini kullanıcılardan gizledi ve güvenlik açıkları yarattı. Tepkiler çok şiddetli oldu. Rootkit'leri tespit etmek, sistem durumunu bilinen iyi temel değerlerle karşılaştıran özel araçlar gerektirir. Kaldırma işlemi genellikle sistemi silip sıfırdan yeniden kurmak anlamına gelir. Bir rootkit'in dokunduğu bir makineye güvenemezsiniz.

Rootkit türleri

• Kullanıcı modu — işlemleri ve dosyaları gizlemek için API'lere bağlanır.
• Çekirdek modu — derinlemesine kontrol için çekirdeği yamalar.
• Bootkit — önyükleyiciyi enfekte eder, işletim sisteminden önce yüklenir.
• Ürün yazılımı (firmware) donanımda bulunur, yeniden kurulumdan sonra da varlığını sürdürür.

Rootkit'ler kalıcılık ve gizlilikle ilgilidir. İlk saldırıyı gerçekleştirmezler. Saldırgan yerleştikten sonra geriye kalanlardır.