Ein Rootkit ist Schadsoftware, deren Zweck das Verbergen ist: Sie versteckt sich selbst und andere Schädlinge vor Betriebssystem, Nutzer und Sicherheitsprogrammen. Der Name stammt vom Unix-Administratorkonto root und beschreibt eine Werkzeugsammlung zur dauerhaften Kontrolle über ein System.
Wirksam wird das Verbergen durch die Ebene, auf der es ansetzt: Rootkits im Betriebssystemkern manipulieren die Auskunftsfunktionen, mit denen Programme Dateien und Prozesse abfragen, sodass die Abfrage selbst ein geschöntes Bild zurückliefert. Noch tiefer sitzende Varianten nisten sich in Firmware oder Bootvorgang ein und überleben damit sogar eine Neuinstallation des Betriebssystems.
Gegen die tieferen Formen helfen Schutzmechanismen moderner Systeme wie Secure Boot und signierte Treiber, sowie die Untersuchung von außen, etwa durch Start von einem separaten Medium oder Vergleich des Netzwerkverkehrs. Bei begründetem Verdacht ist die einzig verlässliche Lösung das vollständige Neuaufsetzen aus vertrauenswürdiger Quelle, nicht das Bereinigen im laufenden Betrieb.