Rootkit ẩn mình và duy trì quyền truy cập đặc quyền. Tên gọi này xuất phát từ "root", cấp độ đặc quyền cao nhất trên hệ thống Unix, và "kit", một bộ công cụ. Rootkit tự chôn vùi sâu trong hệ điều hành. Nó có thể sửa đổi cấu trúc nhân hệ điều hành, chặn các lệnh gọi hệ thống hoặc thay thế các tệp nhị phân hợp pháp bằng các phiên bản bị nhiễm mã độc. Mục tiêu là để trở nên vô hình. Phần mềm chống virus dựa vào việc phát hiện các tệp và tiến trình không thể thấy được những gì rootkit đang che giấu.

Rootkit có nhiều dạng khác nhau. Rootkit chế độ người dùng can thiệp vào API để ẩn các tiến trình và tệp của chúng. Rootkit chế độ nhân vá chính nhân hệ điều hành, điều này mang lại cho chúng mức độ kiểm soát cao nhất. Bootkit lây nhiễm vào bộ nạp khởi động hoặc firmware, vì vậy chúng được tải trước hệ điều hành và tồn tại sau khi cài đặt lại. Rootkit phần cứng nằm trong firmware hoặc bộ điều khiển thiết bị, điều này khiến chúng cực kỳ khó phát hiện và loại bỏ. Vụ bê bối rootkit của Sony BMG năm 2005 đã cho thấy một công ty hợp pháp có thể triển khai phần mềm giống rootkit như thế nào. Hệ thống bảo vệ bản quyền của Sony đã tự ẩn mình khỏi người dùng và tạo ra các lỗ hổng bảo mật. Phản ứng dữ dội đã xảy ra. Phát hiện rootkit đòi hỏi các công cụ chuyên dụng so sánh trạng thái hệ thống với các chuẩn mực tốt đã biết. Việc loại bỏ thường có nghĩa là xóa sạch hệ thống và cài đặt lại từ đầu. Bạn không thể tin tưởng một máy tính đã bị rootkit xâm nhập.

Các loại Rootkit

• Chế độ người dùng — sử dụng API để ẩn các tiến trình và tệp
• Chế độ nhân — vá lỗi nhân hệ điều hành để kiểm soát sâu hơn
• Bootkit — lây nhiễm vào bộ nạp khởi động, được tải trước hệ điều hành.
• Phần mềm nhúng (firmware) — nằm trong phần cứng, vẫn tồn tại sau khi cài đặt lại.

Rootkit tập trung vào khả năng duy trì hoạt động và sự lén lút. Chúng không phải là cuộc tấn công ban đầu, mà là những gì còn sót lại sau khi kẻ tấn công đã thiết lập được vị thế.