Un rootkit es una colección de software, generalmente malicioso, diseñado para permitir el acceso a un computador o áreas de su software que no está permitido de otra manera (por ejemplo, a un usuario no autorizado) y enmascara a menudo su existencia o la existencia de otro software.

El término rootkit es una concatenación de  "root " (el nombre tradicional de la cuenta privilegiada en sistemas operativos tipo UNIX) y la palabra  "kit " (que se refiere a los componentes de software que implementan la herramienta). El término  "rootkit " tiene connotaciones negativas por su asociación con malware.

La instalación de rootkit se puede se automatizada, o un atacante puede instalarlo después de haber obtenido acceso a la raíz del sistema (root) o de administrador. La obtención de este acceso es el resultado de un ataque directo contra un sistema, es decir, explotar una vulnerabilidad conocida (como la escalada de privilegios) o una contraseña (obtenida por tácticas de cracking o ingeniería social como  "phishing"). Una vez instalado, se hace posible ocultar la intrusión así como mantener un acceso privilegiado. La clave es el acceso root o administrador. El control total sobre un sistema significa que se puede modificar el software existente, incluido el software que de otro modo podría utilizarse para detectarlo o eludirlo.

La detección de rootkit es difícil, porque un rootkit puede subvertir l software que diseñado para identificarlo antes de que ataque. Los métodos de detección incluyen el uso de un sistema operativo alternativo y de confianza, métodos basados en el comportamiento, escaneo de firmas, análisis de diferencias y almacenamiento del volcado de memoria. La eliminación puede ser complicada o prácticamente imposible, especialmente en los casos en los que el rootkit reside en el núcleo; la reinstalación del sistema operativo puede ser la única solución disponible para el problema. Cuando se trata de rootkits de firmware, la eliminación puede requerir, incluso, el reemplazo de hardware o equipo especializado.

Encuentre información ampliada en la Wikipedia.
Datos sobre identificación de rootkit aquí.

Fuente: wikipedia.org