Rootkit

Ein Rootkit ist meist eine Sammlung von Programmen, die nach dem Einbruch in ein Betriebssystem installiert wird, um zukünftige Anmeldevorgänge des Einbrechers zu verbergen. Während eines der Programme die Hintertür (engl. backdoor) stellt, ersetzen die anderen Systemprogramme (z. B. ps, top, netstat), um das Vorhandensein der Hintertür zu verschleiern.

Heute gibt es fast nur noch Rootkits der folgenden drei Typen.

Rootkit	Beschreibung
Kernel-Rootkit (auch: LKM-Rootkit)	Es ersetzt Teile des Kernels durch eigenen Code, um sich selbst zu tarnen und dem Einbrecher zusätzliche Funktionen zur Verfügung zu stellen, die nur im Kontext des Kernels ausgeführt werden können. Dies geschieht am häufigsten durch Nachladen von Kernelmodulen.
Userland-Rootkit	Es ist vor allem unter Microsoft Windows verbreitet, da es keinen Zugriff auf der Kernel-Ebene benötigt. Es stellt eine Systembibliothek (DLL) bereit, die mittels verschiedener Methoden (SetWindowsHookEx, ForceLibrary) direkt in alle Prozesse injiziert wird. Ist diese Bibliothek einmal geladen, verändert sie entsprechende Programmierschnittstellenfunktionen und leitet die Ausführung dieser auf sich selbst um. Damit können Informationen gezielt gefiltert oder verändert werden.
Speicher-Rootkit	Es existiert nur im Arbeitsspeicher. Nach einem Neustart des Betriebssystems ist es nicht mehr vorhanden.

Der Rootkit Hunter versucht Rootkits aufzuspüren.