ในช่วงกลางปี ​​2015 มีการค้นพบว่าLenovoได้จัดส่งพีซีสำหรับผู้บริโภคบางรุ่นที่มีเฟิร์มแวร์ที่ทำงานคล้ายกับรูทคิตแบบฝังตัว ฟีเจอร์นี้เรียกว่า Lenovo Service Engine (LSE) ฝังอยู่ในBIOS ของระบบ และจะทำงานเมื่อเริ่มต้นระบบ แม้กระทั่งก่อนที่ Windows จะบูตเสร็จ LSE ถูกออกแบบมาเพื่อให้แน่ใจว่ายูทิลิตี้การอัปเดตระบบของ Lenovo และโปรแกรมที่ติดตั้งไว้ล่วงหน้าที่เกี่ยวข้องยังคงติดตั้งอยู่ โดยจะติดตั้งใหม่โดยอัตโนมัติหากถูกลบออก เนื่องจากโค้ดนี้อยู่ในเฟิร์มแวร์ ทำให้ผู้ใช้ตรวจจับหรือลบได้ยาก แม้แต่การติดตั้ง Windows ใหม่ทั้งหมดก็ไม่สามารถกำจัด LSE ได้ เพราะมันจะถูกติดตั้งใหม่ในการรีบูตครั้งถัดไป

ต่อมานักวิจัยค้นพบว่า LSE ก่อให้เกิดปัญหาด้านความปลอดภัยที่ร้ายแรง ซึ่งเป็นช่องโหว่ที่อนุญาตให้มีการโจมตีเพื่อยกระดับสิทธิ์ (ผ่านบัฟเฟอร์โอเวอร์โฟลว์ ) เพื่อควบคุมในระดับผู้ดูแลระบบ เพื่อเป็นการตอบสนอง Lenovo จึงได้ออกอัปเดต BIOS และยูทิลิตี้สำหรับลบในปี 2015 เพื่อปิดใช้งานและลบคุณสมบัติ LSE นอกจากนี้ Microsoftยังได้อัปเดตแนวทางการรักษาความปลอดภัยของ Windows เพื่อห้ามพฤติกรรมเฟิร์มแวร์ดังกล่าว ซึ่งส่งผลให้ Lenovo ต้องหยุดใช้ LSE ในระบบใหม่ ฟังก์ชัน LSE ถูกลบออกจากรุ่นต่อๆ มา และ Lenovo ได้กระตุ้นให้ลูกค้าติดตั้งเฟิร์มแวร์ที่อัปเดตแล้วเพื่อกำจัดความเสี่ยง^{[ 12 ] [ 13 ]}

Stuxnet ซึ่งถูกเปิดเผยในปี 2010 เป็นเวิร์มที่มีความซับซ้อนสูง ซึ่งเชื่อกันอย่างกว้างขวางว่าได้รับการพัฒนาขึ้นในปฏิบัติการข่าวกรองร่วมระหว่างสหรัฐฯ และอิสราเอล โดยมีเป้าหมายที่โรงงานนิวเคลียร์ของอิหร่าน^{[ 14 ] [ 15 ] [ 16 ] [ 17 ]} ที่สำคัญคือมันมีรูทคิต โหมดเคอร์เนลของ Windows ที่ซ่อนไฟล์และกระบวนการของมัลแวร์ ทำให้เวิร์มสามารถก่อวินาศกรรมระบบควบคุมอุตสาหกรรมได้อย่างเงียบๆ Stuxnet มักถูกอ้างถึงว่าเป็นอาวุธไซเบอร์ ตัวแรกที่รู้จัก มันทำลาย เครื่องปั่นแยกยูเรเนียมส่วนสำคัญของอิหร่านในขณะที่ยังคงตรวจจับได้ยาก^{[ 18 ] [ 19 ] [ 20 ]}

ในปี 2548 Sony BMGได้เผยแพร่ซีดีที่มีซอฟต์แวร์ป้องกันการคัดลอกและการจัดการสิทธิ์ดิจิทัล ที่เรียกว่า Extended Copy Protectionซึ่งสร้างโดยบริษัทซอฟต์แวร์ First 4 Internet ซอฟต์แวร์นี้มีโปรแกรมเล่นเพลง แต่ได้ติดตั้งรูทคิตโดยไม่แจ้งให้ทราบล่วงหน้า ซึ่งจำกัดความสามารถของผู้ใช้ในการเข้าถึงซีดี^{[ 21 ]}วิศวกรซอฟต์แวร์Mark Russinovichผู้สร้างเครื่องมือตรวจจับรูทคิตRootkitRevealerได้ค้นพบรูทคิตบนคอมพิวเตอร์เครื่องหนึ่งของเขา^{[ 1 ]}เรื่องอื้อฉาวที่เกิดขึ้นทำให้สาธารณชนตระหนักถึงรูทคิตมากขึ้น^{[ 22 ]}เพื่อพรางตัว รูทคิตจะซ่อนไฟล์ใดๆ ที่ขึ้นต้นด้วย "$sys$" จากผู้ใช้ ไม่นานหลังจากรายงานของ Russinovich มัลแวร์ก็ปรากฏขึ้นซึ่งใช้ประโยชน์จากรูทคิตที่มีอยู่บนระบบที่ได้รับผลกระทบ^{[ 1 ]} นักวิเคราะห์ของ BBCคนหนึ่งเรียกมันว่า " ฝันร้าย ด้านการประชาสัมพันธ์ " ^{[ 23 ]} Sony BMG ได้ออกแพตช์เพื่อถอนการติดตั้งรูทคิต ซึ่งทำให้ผู้ใช้เผชิญกับช่องโหว่ที่ร้ายแรงยิ่งขึ้น^{[ 24 ]}ในที่สุดบริษัทก็เรียกคืนซีดีเหล่านั้น ในสหรัฐอเมริกา มี การฟ้องร้องดำเนินคดีแบบกลุ่มต่อ Sony BMG ^{[ 25 ]}

กรณีการดักฟังโทรศัพท์ในกรีซปี 2547-2548หรือที่รู้จักกันในชื่อ วอเตอร์เกตแห่งกรีซ^{[ 26 ]}เกี่ยวข้องกับการดักฟังโทรศัพท์มือถือมากกว่า 100 เครื่องใน เครือข่าย Vodafone Greece อย่างผิดกฎหมาย ซึ่งส่วนใหญ่เป็นของสมาชิก รัฐบาล กรีกและข้าราชการระดับสูง การดักฟังเริ่มขึ้นในช่วงต้นเดือนสิงหาคม 2547 และถูกถอดออกในเดือนมีนาคม 2548 โดยไม่พบตัวตนของผู้กระทำผิด ผู้บุกรุกได้ติดตั้งรูทคิตที่มุ่งเป้าไปที่ระบบโทรศัพท์ AXE ของ Ericsson ตามรายงานของIEEE Spectrumนี่เป็น "ครั้งแรกที่มีการสังเกตรูทคิตบนระบบเฉพาะกิจ ในกรณีนี้คือสวิตช์โทรศัพท์ของ Ericsson" ^{[ 27 ]}รูทคิตได้รับการออกแบบมาเพื่อแก้ไขหน่วยความจำของระบบขณะที่กำลังทำงาน เปิดใช้งานการดักฟังในขณะที่ปิดใช้งานบันทึกการตรวจสอบ แก้ไขคำสั่งที่แสดงรายการกระบวนการที่ใช้งานอยู่และบล็อกข้อมูลที่ใช้งานอยู่ และแก้ไขคำสั่งตรวจสอบผลรวม ตรวจสอบของบล็อกข้อมูล “ช่องทางลับ” อนุญาตให้ผู้ปฏิบัติงานที่มี สถานะ ผู้ดูแลระบบสามารถปิดใช้งานบันทึกธุรกรรม สัญญาณเตือน และคำสั่งการเข้าถึงที่เกี่ยวข้องกับความสามารถในการเฝ้าระวังของการแลกเปลี่ยนได้^{[ 27 ]}รูทคิตถูกค้นพบหลังจากผู้บุกรุกติดตั้งการอัปเดตที่ผิดพลาด ซึ่งทำให้ ข้อความ SMSไม่สามารถส่งได้ ส่งผลให้มีการสร้างรายงานความล้มเหลวอัตโนมัติ วิศวกรของ Ericsson ได้รับการเรียกตัวมาตรวจสอบข้อผิดพลาดและค้นพบบล็อกข้อมูลที่ซ่อนอยู่ซึ่งมีรายการหมายเลขโทรศัพท์ที่ถูกตรวจสอบ รวมถึงรูทคิตและซอฟต์แวร์ตรวจสอบที่ผิดกฎหมาย 

รูทคิตโหมดผู้ใช้ทำงานในRing 3พร้อมกับแอปพลิเคชันอื่นๆ ในฐานะผู้ใช้ แทนที่จะเป็นกระบวนการระบบระดับต่ำ^{[ 36 ]}พวกมันมีเวกเตอร์การติดตั้งที่เป็นไปได้หลายวิธีในการดักจับและแก้ไขพฤติกรรมมาตรฐานของอินเทอร์เฟซการเขียนโปรแกรมแอปพลิเคชัน (API) บางวิธีจะแทรก ไลบรารี ที่เชื่อมโยงแบบไดนามิก (เช่น ไฟล์ .DLLบน Windows หรือไฟล์ .dylib บนMac OS X ) เข้าไปในกระบวนการอื่นๆ และด้วยเหตุนี้จึงสามารถเรียกใช้ภายในกระบวนการเป้าหมายใดๆ เพื่อปลอมแปลงได้ บางวิธีที่มีสิทธิ์เพียงพอจะเขียนทับหน่วยความจำของแอปพลิเคชันเป้าหมาย กลไกการแทรกประกอบด้วย: ^{[ 36 ]}

• การใช้งานส่วนขยายแอปพลิเคชันที่ผู้จำหน่ายจัดหาให้ ตัวอย่างเช่นWindows Explorerมีอินเทอร์เฟซสาธารณะที่อนุญาตให้บุคคลที่สามขยายฟังก์ชันการทำงานได้
• การดักฟังข้อความ
• โปรแกรมดีบักเกอร์
• การใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัย
• การ ดักจับฟังก์ชันหรือการแก้ไข API ที่ใช้กันทั่วไป เช่น เพื่อซ่อนกระบวนการทำงานหรือไฟล์ที่อยู่ในระบบไฟล์^{[ 37 ]}

...เนื่องจากแอปพลิเคชันในโหมดผู้ใช้ทั้งหมดทำงานในพื้นที่หน่วยความจำของตนเอง รูทคิทจึงจำเป็นต้องทำการแก้ไขพื้นที่หน่วยความจำของทุกแอปพลิเคชันที่กำลังทำงานอยู่ นอกจากนี้ รูทคิทยังต้องตรวจสอบระบบเพื่อหาแอปพลิเคชันใหม่ ๆ ที่ทำงาน และแก้ไขพื้นที่หน่วยความจำของโปรแกรมเหล่านั้นก่อนที่จะทำงานเสร็จสมบูรณ์

รูทคิตโหมดเคอร์เนลทำงานด้วยสิทธิ์ระบบปฏิบัติการสูงสุด ( Ring 0 ) โดยการเพิ่มโค้ดหรือแทนที่ส่วนต่างๆ ของระบบปฏิบัติการหลัก รวมถึงทั้งเคอร์เนลและไดรเวอร์อุปกรณ์ ที่เกี่ยวข้อง ระบบปฏิบัติการส่วน ใหญ่รองรับไดรเวอร์อุปกรณ์โหมดเคอร์เนล ซึ่งทำงานด้วยสิทธิ์เดียวกันกับระบบปฏิบัติการเอง ดังนั้น รูทคิตโหมดเคอร์เนลจำนวนมากจึงถูกพัฒนาขึ้นเป็นไดรเวอร์อุปกรณ์หรือโมดูลที่โหลดได้ เช่นโมดูลเคอร์เนลที่โหลดได้ในLinuxหรือไดรเวอร์อุปกรณ์ในMicrosoft Windowsรูทคิตประเภทนี้มีการเข้าถึงความปลอดภัยที่ไม่จำกัด แต่เขียนได้ยากกว่า^{[ 38 ]}ความซับซ้อนทำให้เกิดบั๊กได้บ่อย และบั๊กใดๆ ในโค้ดที่ทำงานในระดับเคอร์เนลอาจส่งผลกระทบอย่างร้ายแรงต่อเสถียรภาพของระบบ นำไปสู่การค้นพบรูทคิต^{[ 38 ]}หนึ่งในรูทคิตเคอร์เนลที่เป็นที่รู้จักกันอย่างแพร่หลายเป็นครั้งแรกได้รับการพัฒนาสำหรับWindows NT 4.0และเผยแพร่ในนิตยสารPhrack ในปี 1999 โดย Greg Hoglund ^{[ 39 ] [ 40 ]}รูทคิตเคอร์เนลอาจตรวจจับและกำจัดได้ยากเป็นพิเศษ เนื่องจากทำงานในระดับความปลอดภัย เดียว กับระบบปฏิบัติการเอง จึงสามารถดักจับหรือทำลายการทำงานของระบบปฏิบัติการที่เชื่อถือได้มากที่สุดได้ ซอฟต์แวร์ใดๆ เช่นซอฟต์แวร์ป้องกันไวรัสที่ทำงานบนระบบที่ถูกบุกรุกก็มีความเสี่ยงเช่นกัน^{[ 41 ]}ในสถานการณ์เช่นนี้ ไม่มีส่วนใดของระบบที่สามารถเชื่อถือได้

รูทคิตสามารถแก้ไขโครงสร้างข้อมูลในเคอร์เนลของ Windows โดยใช้วิธีที่เรียกว่าการจัดการวัตถุเคอร์เนลโดยตรง (DKOM) ^{[ 42 ]}วิธีนี้สามารถใช้เพื่อซ่อนกระบวนการได้ รูทคิตในโหมดเคอร์เนลยังสามารถดักจับตารางคำอธิบายบริการระบบ (SSDT) ​​หรือแก้ไขเกตระหว่างโหมดผู้ใช้และโหมดเคอร์เนลเพื่อซ่อนตัว^{[ 4 ]}ในทำนองเดียวกันสำหรับ ระบบปฏิบัติการ Linuxรูทคิตสามารถแก้ไขตารางการเรียกใช้ระบบเพื่อทำลายการทำงานของเคอร์เนล^{[ 43 ] [ 44 ]}เป็นเรื่องปกติที่รูทคิตจะสร้างระบบไฟล์ที่เข้ารหัสและซ่อนไว้ ซึ่งสามารถซ่อนมัลแวร์อื่น ๆ หรือสำเนาต้นฉบับของไฟล์ที่ติดเชื้อได้^{[ 45 ]}ระบบปฏิบัติการกำลังพัฒนาเพื่อต่อต้านภัยคุกคามจากรูทคิตในโหมดเคอร์เนล ตัวอย่างเช่น Microsoft Windows รุ่น 64 บิตในปัจจุบันใช้การลงนามบังคับของไดรเวอร์ระดับเคอร์เนลทั้งหมด เพื่อทำให้ยากขึ้นสำหรับโค้ดที่ไม่น่าเชื่อถือในการเรียกใช้ด้วยสิทธิ์สูงสุดในระบบ^{[ 46 ]}

รูทคิตถูกสร้างขึ้นเป็นไฮเปอร์ไวเซอร์ ประเภท II ในแวดวงวิชาการเพื่อเป็นหลักฐานเชิงแนวคิด โดยการใช้ประโยชน์จากคุณสมบัติการจำลองเสมือนของฮาร์ดแวร์ เช่นIntel VTหรือAMD-Vรูทคิตประเภทนี้ทำงานใน Ring  -1 และโฮสต์ระบบปฏิบัติการเป้าหมายเป็นเครื่องเสมือนทำให้รูทคิตสามารถดักจับการเรียกใช้ฮาร์ดแวร์ที่ทำโดยระบบปฏิบัติการดั้งเดิมได้^{[ 6 ]}แตกต่างจากไฮเปอร์ไวเซอร์ทั่วไป รูทคิตประเภทนี้ไม่จำเป็นต้องโหลดก่อนระบบปฏิบัติการ แต่สามารถโหลดเข้าไปในระบบปฏิบัติการก่อนที่จะโปรโมตให้เป็นเครื่องเสมือนได้^{[ 6 ]}รูทคิตไฮเปอร์ไวเซอร์ไม่จำเป็นต้องทำการแก้ไขใดๆ กับเคอร์เนลของเป้าหมายเพื่อทำลายมัน อย่างไรก็ตาม นั่นไม่ได้หมายความว่าระบบปฏิบัติการแขกจะไม่สามารถตรวจจับได้ ตัวอย่างเช่น อาจสามารถตรวจจับความแตกต่างของเวลาในคำสั่งCPU ได้ ^{[ 6 ]}รูทคิตในห้องปฏิบัติการ "SubVirt" ซึ่งพัฒนาร่วมกันโดย นักวิจัยของ Microsoftและมหาวิทยาลัยมิชิแกนเป็นตัวอย่างทางวิชาการของรูทคิตแบบเครื่องเสมือน (VMBR) ^{[ 55 ]} ในขณะที่ ซอฟต์แวร์ Blue Pillก็เป็นอีกตัวอย่างหนึ่ง ในปี 2552 นักวิจัยจาก Microsoft และมหาวิทยาลัยแห่งรัฐนอร์ทแคโรไลนาได้สาธิตโปรแกรมป้องกันรูทคิตระดับไฮเปอร์ไวเซอร์ที่เรียกว่าHooksafeซึ่งให้การป้องกันทั่วไปต่อรูทคิตในโหมดเคอร์เนล^{[ 56 ]} Windows 10ได้แนะนำคุณสมบัติใหม่ที่เรียกว่า "Device Guard" ซึ่งใช้ประโยชน์จากเวอร์ชวลไลเซชันเพื่อมอบการป้องกันภายนอกที่เป็นอิสระของระบบปฏิบัติการจากมัลแวร์ประเภทรูทคิต^{[ 57 ]}

รู ทคิท เฟิร์มแวร์ใช้เฟิร์มแวร์ของอุปกรณ์หรือแพลตฟอร์มเพื่อสร้างภาพมัลแวร์ถาวรในฮาร์ดแวร์ เช่นเราเตอร์การ์ดเครือข่าย [ ^{58 ] ฮาร์ด}ไดรฟ์หรือBIOSของ ระบบ ^{[ 36 ] [ 59 ]}รูทคิทจะซ่อนตัวอยู่ในเฟิร์มแวร์ เนื่องจากโดยปกติเฟิร์มแวร์จะไม่ได้รับการตรวจสอบความสมบูรณ์ของโค้ด John Heasman ได้แสดงให้เห็นถึงความเป็นไปได้ของรูทคิทเฟิร์มแว ร์ทั้งในรูทีนเฟิร์มแวร์ACPI ^{[ 60 ]}และในROMการ์ดขยายPCI ^{[ 61 ]}ในเดือนตุลาคม พ.ศ. 2551 อาชญากรได้ดัดแปลง เครื่องอ่าน บัตรเครดิต ของยุโรป ก่อนที่จะติดตั้ง อุปกรณ์ดังกล่าวสามารถดักจับและส่งรายละเอียดบัตรเครดิตผ่านเครือข่ายโทรศัพท์มือถือ^{[ 62 ]}ในเดือนมีนาคม พ.ศ. 2552 นักวิจัย Alfredo Ortega และAnibal Saccoได้เผยแพร่รายละเอียดของ รูทคิท Windows ระดับ BIOSที่สามารถอยู่รอดได้แม้จะมีการเปลี่ยนดิสก์และติดตั้งระบบปฏิบัติการใหม่^{[ 63 ] [ 64 ] [ 65 ]}ไม่กี่เดือนต่อมา พวกเขาได้เรียนรู้ว่าแล็ปท็อปบางเครื่องถูกขายพร้อมกับรูทคิตที่ถูกต้องตามกฎหมาย ซึ่งรู้จักกันในชื่อ Absolute CompuTraceหรือ Absolute LoJack for Laptopsที่ติดตั้งไว้ล่วงหน้าในอิมเมจ BIOS จำนวนมาก นี่คือระบบเทคโนโลยีป้องกันการโจรกรรมที่นักวิจัยแสดงให้เห็นว่าสามารถนำไปใช้ในทางที่มุ่งร้ายได้^{[ 33 ]}

เทคโนโลยี Intel Active Management Technologyซึ่งเป็นส่วนหนึ่งของIntel vProช่วยให้สามารถจัดการแบบ out-of-band ได้ ทำให้ผู้ดูแลระบบสามารถบริหารจัดการ ควบคุมและจัดการ พีซี จาก ระยะไกล ได้โดยไม่ต้องอาศัยโปรเซสเซอร์หรือ BIOS แม้ว่าระบบจะปิดอยู่ก็ตาม การบริหารจัดการจากระยะไกลรวมถึงการเปิดและปิดเครื่องจากระยะไกล การรีเซ็ตจากระยะไกล การบูตแบบเปลี่ยนเส้นทาง การเปลี่ยนเส้นทางคอนโซล การเข้าถึงการตั้งค่า BIOS ก่อนบูต การกรองข้อมูลเครือข่ายขาเข้าและขาออกที่ตั้งโปรแกรมได้ การตรวจสอบสถานะของเอเจนต์ การแจ้งเตือนตามนโยบายแบบ out-of-band การเข้าถึงข้อมูลระบบ เช่น ข้อมูลฮาร์ดแวร์ บันทึกเหตุการณ์ถาวร และข้อมูลอื่นๆ ที่จัดเก็บไว้ในหน่วยความจำเฉพาะ (ไม่ใช่ฮาร์ดไดรฟ์) ซึ่งสามารถเข้าถึงได้แม้ว่าระบบปฏิบัติการจะหยุดทำงานหรือพีซีปิดอยู่ก็ตาม ฟังก์ชันบางอย่างเหล่านี้จำเป็นต้องใช้ rootkit ระดับลึก ซึ่งเป็นคอมพิวเตอร์สอดแนมตัวที่สองที่ไม่สามารถถอดออกได้ สร้างขึ้นรอบๆ คอมพิวเตอร์หลัก ชิปเซ็ต Sandy Bridge และชิปเซ็ตในอนาคตมี "ความสามารถในการทำลายและกู้คืนพีซีที่สูญหายหรือถูกขโมยจากระยะไกลผ่าน 3G" รูทคิตฮาร์ดแวร์ที่ฝังอยู่ในชิปเซ็ตสามารถช่วยกู้คืนคอมพิวเตอร์ที่ถูกขโมย ลบข้อมูล หรือทำให้คอมพิวเตอร์ใช้งานไม่ได้ แต่ก็ก่อให้เกิดความกังวลด้านความเป็นส่วนตัวและความปลอดภัยจากการสอดแนมและการเปลี่ยนเส้นทางที่ไม่สามารถตรวจจับได้โดยผู้บริหารหรือแฮกเกอร์ที่อาจเข้าควบคุมระบบได้

วิธีที่ดีที่สุดและน่าเชื่อถือที่สุดสำหรับการตรวจจับรูทคิตระดับระบบปฏิบัติการคือการปิดเครื่องคอมพิวเตอร์ที่ต้องสงสัยว่าติดเชื้อ จากนั้นตรวจสอบพื้นที่จัดเก็บข้อมูลโดยการบูตจากสื่อที่เชื่อถือได้อื่น (เช่นซีดีรอม "กู้ คืน" หรือแฟลชไดรฟ์ USB ) ^{[ 81 ]}เทคนิคนี้ได้ผลเพราะรูทคิตไม่สามารถซ่อนตัวตนได้หากไม่ได้ทำงาน

แนวทางการตรวจจับรูทคิตโดยอาศัยพฤติกรรมนั้น พยายามที่จะอนุมานการมีอยู่ของรูทคิตโดยการมองหาพฤติกรรมที่คล้ายกับรูทคิต ตัวอย่างเช่น โดยการวิเคราะห์ระบบ ความแตกต่างในเวลาและความถี่ของการเรียกใช้ API หรือในการใช้งาน CPU โดยรวม สามารถนำมาเชื่อมโยงกับรูทคิตได้ วิธีนี้มีความซับซ้อนและมีข้อจำกัดเนื่องจากมีผลลัพธ์ที่ผิดพลาด สูง รูทคิตที่มีข้อบกพร่องบางครั้งอาจทำให้เกิดการเปลี่ยนแปลงที่เห็นได้ชัดเจนมากในระบบ: รูทคิต Alureonทำให้ระบบ Windows ล่มหลังจากที่การอัปเดตความปลอดภัยเผยให้เห็นข้อบกพร่องในการออกแบบในโค้ด^{[ 82 ] [ 83 ]}บันทึกจากเครื่องวิเคราะห์แพ็กเก็ตไฟร์วอลล์หรือระบบป้องกันการบุกรุกอาจแสดงหลักฐานของพฤติกรรมรูทคิตในสภาพแวดล้อมเครือข่าย^{[ 35 ]}

ผลิตภัณฑ์ป้องกันไวรัสแทบจะไม่สามารถตรวจจับไวรัสทั้งหมดได้ในการทดสอบสาธารณะ (ขึ้นอยู่กับสิ่งที่ใช้และขอบเขตการใช้งาน) แม้ว่าผู้จำหน่ายซอฟต์แวร์รักษาความปลอดภัยจะรวมการตรวจจับรูทคิตไว้ในผลิตภัณฑ์ของตนก็ตาม หากรูทคิตพยายามซ่อนตัวในระหว่างการสแกนป้องกันไวรัส ตัวตรวจจับการซ่อนตัวอาจตรวจพบได้ หากรูทคิตพยายามโหลดตัวเองออกจากระบบชั่วคราว การตรวจจับลายเซ็น (หรือ "การทำลายนิ้วมือ") ก็ยังสามารถค้นพบได้^{[ 84 ]}วิธีการแบบผสมผสานนี้บังคับให้ผู้โจมตีต้องใช้กลไกการตอบโต้ หรือขั้นตอน "ย้อนกลับ" ที่พยายามยุติโปรแกรมป้องกันไวรัส วิธีการตรวจจับตามลายเซ็นอาจมีประสิทธิภาพกับรูทคิตที่เผยแพร่ทั่วไป แต่มีประสิทธิภาพน้อยกว่ากับรูทคิตที่สร้างขึ้นเป็นพิเศษ^{[ 71 ]}

อีกวิธีหนึ่งที่สามารถตรวจจับรูทคิตได้คือการเปรียบเทียบข้อมูลดิบที่ "เชื่อถือได้" กับเนื้อหาที่ "ปนเปื้อน" ที่ส่งคืนโดยAPIตัวอย่างเช่นไบนารีที่มีอยู่ในดิสก์สามารถเปรียบเทียบกับสำเนาภายในหน่วยความจำการทำงาน (ในบางระบบปฏิบัติการ รูปภาพในหน่วยความจำควรจะเหมือนกับรูปภาพบนดิสก์) หรือผลลัพธ์ที่ส่งคืนจาก API ของ ระบบไฟล์หรือWindows Registryสามารถตรวจสอบกับโครงสร้างดิบในดิสก์ทางกายภาพที่อยู่เบื้องหลังได้^{[ 71 ] [ 85 ]} —อย่างไรก็ตาม ในกรณีแรก ความแตกต่างที่ถูกต้องบางอย่างสามารถเกิดขึ้นได้จากกลไกของระบบปฏิบัติการ เช่น การย้ายตำแหน่งหน่วยความจำหรือการปรับแต่งรูทคิตอาจตรวจพบการมีอยู่ของสแกนเนอร์แบบอิงความแตกต่างหรือเครื่องเสมือน (ซึ่งมักใช้ในการวิเคราะห์ทางนิติวิทยาศาสตร์) และปรับพฤติกรรมเพื่อไม่ให้ตรวจพบความแตกต่าง การตรวจจับแบบอิงความแตกต่างถูกใช้โดย เครื่องมือ RootkitRevealerของRussinovichเพื่อค้นหารูทคิต Sony DRM ^{[ 1 ]}

การลงนามรหัสใช้โครงสร้างพื้นฐานคีย์สาธารณะเพื่อตรวจสอบว่าไฟล์ได้รับการแก้ไขหรือไม่นับตั้งแต่ได้รับการลงนามดิจิทัลโดยผู้เผยแพร่ หรืออีกทางหนึ่ง เจ้าของระบบหรือผู้ดูแลระบบสามารถใช้ฟังก์ชันแฮชเข้ารหัสลับเพื่อคำนวณ "ลายนิ้วมือ" ในเวลาติดตั้ง ซึ่งสามารถช่วยตรวจจับการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตในภายหลังต่อไลบรารีรหัสบนดิสก์ได้^{[ 86 ]}อย่างไรก็ตาม แผนการที่ไม่ซับซ้อนจะตรวจสอบเฉพาะว่ารหัสได้รับการแก้ไขหรือไม่นับตั้งแต่เวลาติดตั้ง การเปลี่ยนแปลงก่อนหน้านั้นไม่สามารถตรวจจับได้ ลายนิ้วมือจะต้องถูกสร้างขึ้นใหม่ทุกครั้งที่มีการเปลี่ยนแปลงเกิดขึ้นกับระบบ เช่น หลังจากติดตั้งการอัปเดตความปลอดภัยหรือแพ็คเกจบริการฟังก์ชันแฮชจะสร้างข้อความสรุปซึ่งเป็นรหัสที่ค่อนข้างสั้นที่คำนวณจากแต่ละบิตในไฟล์โดยใช้อัลกอริทึมที่สร้างการเปลี่ยนแปลงขนาดใหญ่ในข้อความสรุปด้วยการเปลี่ยนแปลงที่เล็กกว่าในไฟล์ต้นฉบับ การคำนวณใหม่และเปรียบเทียบข้อความสรุปของไฟล์ที่ติดตั้งเป็นระยะๆ กับรายการข้อความสรุปที่เชื่อถือได้ การเปลี่ยนแปลงในระบบสามารถตรวจจับและตรวจสอบได้ ตราบใดที่ได้สร้างฐานเดิมก่อนที่จะเพิ่มมัลแวร์

รูทคิตที่ซับซ้อนกว่าสามารถบิดเบือนกระบวนการตรวจสอบได้โดยการนำเสนอสำเนาไฟล์ที่ไม่ได้รับการแก้ไขสำหรับการตรวจสอบ หรือโดยการแก้ไขโค้ดเฉพาะในหน่วยความจำ รีจิสเตอร์การกำหนดค่าใหม่ ซึ่งจะถูกเปรียบเทียบกับรายการค่าที่คาดหวังไว้ในภายหลัง^{[ 87 ]}โค้ดที่ทำการแฮช เปรียบเทียบ หรือขยายการทำงานจะต้องได้รับการปกป้องด้วย ในบริบทนี้ แนวคิดของรากแห่งความเชื่อถือที่ไม่เปลี่ยนแปลงได้ถือว่าโค้ดแรกสุดที่วัดคุณสมบัติความปลอดภัยของระบบจะต้องได้รับความไว้วางใจเพื่อให้แน่ใจว่ารูทคิตหรือบูทคิตจะไม่บุกรุกระบบในระดับพื้นฐานที่สุด^{[ 88 ]}

การบังคับให้ดัมพ์หน่วย ความจำเสมือนทั้งหมดจะสามารถจับรูทคิตที่ทำงานอยู่ (หรือดัมพ์เคอร์เนลในกรณีของรูทคิตโหมดเคอร์เนล) ทำให้สามารถทำการวิเคราะห์ทางนิติวิทยาศาสตร์ แบบออฟไลน์ได้โดยใช้ ดีบักเกอร์ กับ ไฟล์ดัมพ์ที่ได้ โดยที่รูทคิตไม่สามารถใช้มาตรการใดๆ เพื่อซ่อนตัวได้ เทคนิคนี้มีความเฉพาะทางสูง และอาจต้องเข้าถึงซอร์สโค้ดที่ไม่เปิดเผย ต่อสาธารณะ หรือสัญลักษณ์การดีบัก การดัมพ์หน่วยความจำที่เริ่มต้นโดยระบบปฏิบัติการไม่สามารถใช้ตรวจจับรูทคิตที่ใช้ไฮเปอร์ไวเซอร์ได้เสมอไป เนื่องจากรูทคิตประเภทนี้สามารถดักจับและบิดเบือนความพยายามในการอ่านหน่วยความจำในระดับต่ำสุดได้^{[ 6 ]} — อาจต้องใช้อุปกรณ์ฮาร์ดแวร์ เช่น อุปกรณ์ที่ใช้การขัดจังหวะที่ไม่สามารถปิดกั้นได้ เพื่อดัมพ์หน่วยความจำในสถานการณ์นี้ ^{[ 89 ] [ 90 ]}เครื่องเสมือนยังทำให้การวิเคราะห์หน่วยความจำของเครื่องที่ถูกบุกรุกจากไฮเปอร์ไวเซอร์พื้นฐานทำได้ง่ายขึ้น ดังนั้นรูทคิตบางตัวจึงหลีกเลี่ยงการติดเชื้อเครื่องเสมือนด้วยเหตุผลนี้