Rootkit并不是某一种具体的病毒，而是一类专门用来隐藏恶意活动的技术集合。它的核心目标只有一个：让攻击者植入的后门、木马、键盘记录器或者挖矿程序尽可能长时间地留在系统里，同时不被任务管理器、文件资源管理器、注册表编辑器以及安全软件发现。要检测和清除Rootkit，不能只盯着单个文件或进程，必须理解它可能修改的每一个层次，包括用户态API、内核数据结构、驱动程序链以及磁盘引导扇区。
一、Rootkit的主要类型与隐藏位置
用户态Rootkit通常通过劫持进程所依赖的动态链接库或API来完成隐藏。例如在Windows上，恶意程序可以修改IAT导入地址表，替换NtQuerySystemInformation、CreateToolhelp32Snapshot等函数的地址。当安全工具调用这些API枚举进程时，请求会被先送到攻击者的伪函数中，伪函数再把某些进程名从返回结果里删掉，最后交给真正的系统函数。这种技术实现成本低，但影响范围局限在单个进程，较容易被杀软的完整性检查发现。
内核态Rootkit危害更大，因为它运行在Ring 0，与操作系统内核具有相同权限。常见手段包括SSDT Hook、Inline Hook、IDT Hook，以及DKOM直接内核对象操作。攻击者可以修改系统服务描述表，使ZwQueryDirectoryFile在列目录时跳过来路不明的文件；也可以直接操作EPROCESS结构中的活动进程链表，把恶意进程从链表中摘除，但让调度器仍然可以运行它。这类Rootkit会影响所有用户态程序得到的信息，常规扫描工具如果运行在受感染系统上，基本无法获得可信结果。
还有一类更顽固的版本安装在引导层或固件层。它们可能修改MBR、VBR、UEFI引导链，或者在主板的SPI闪存里写入恶意代码。由于这些代码先于操作系统加载，即使重装系统、格式化硬盘也可能无法清除。对付这类感染，单纯在系统内部做文件扫描完全无效，必须在硬件层面或使用可信的独立引导介质进行检测。
二、检测Rootkit的可靠思路
检测Rootkit最重要的是不要完全信任当前系统给出的结果。交叉视图是一种经典方法：先用高层API枚举进程、文件、注册表项，再用低层方式枚举一次，比如从内核对象链表、原始磁盘扇区或内存映像中直接读取。如果高层结果比低层结果少了一些项，就说明可能存在过滤或隐藏。另一种思路是完整性校验。安全工具可以预先记录关键系统文件、驱动文件和内核关键结构的哈希值，在检测时重新计算并比对，发现被修改的ntoskrnl.exe、win32k.sys或第三方驱动。
行为分析同样有效。Rootkit在安装阶段不可避免会产生一些异常行为，例如突然向系统目录释放无签名驱动、修改注册表中的服务启动项、创建名称混乱的内核对象，或者导致系统时间、网络流量、CPU占用出现轻微异常。可以借助Sysinternals套件中的Autoruns、Process Explorer，或使用GMER、TDSSKiller、RootkitRevealer等专用工具。在Linux系统上，chkrootkit、rkhunter和Lynis可以检查已知Rootkit特征、可疑的/proc条目以及被替换的基础命令。
下面这段PowerShell脚本用于枚举当前正在运行的内核驱动，并检查它们是否带有有效的Microsoft签名。虽然签名合法不代表绝对安全，但无签名或签名异常的驱动应被重点审查。
# 检查非Microsoft签名的内核驱动
$drivers = Get-CimInstance Win32_SystemDriver | Where-Object { $_.State -eq 'Running' }
foreach ($d in $drivers) {
$path = $d.PathName
if ($path -and (Test-Path $path)) {
$sig = Get-AuthenticodeSignature $path
if ($sig.Status -ne 'Valid' -or $sig.SignerCertificate.Subject -notmatch 'Microsoft') {
Write-Output "$($d.Name) | $path | $($sig.Status)"
}
}
}
如果怀疑内核被挂钩，还可以对关键系统调用或驱动入口地址做范围判断。例如某个NtQueryDirectoryFile的地址明显落在非系统模块范围内，或者落在可写内存区域，就可能被Inline Hook。内存取证工具如Volatility能够在不启动目标系统的情况下分析内存转储，查找隐藏进程、被断开的链表以及可疑驱动对象，这对验证Rootkit存在非常关键。
三、清除Rootkit的具体流程
清除Rootkit之前要先做隔离和证据备份。把受感染机器从网络中断开，防止攻击者远程重新部署载荷。将内存转储、磁盘映像以及关键日志保存到独立存储介质，后续不仅可用于清除，也能用于溯源。切勿直接信任受感染系统上的备份工具，因为Rootkit可能篡改备份内容。最好从干净的U盘或光盘启动，使用独立的PE环境或Live Linux系统访问硬盘。
进入干净环境后，先执行多引擎离线扫描。Windows系统可以使用Windows Defender Offline、Kaspersky Rescue Disk或ESET SysRescue等专用启动盘。扫描时不要只查文件系统，还要检查MBR、VBR、UEFI分区和引导配置。若发现引导区感染，可在恢复环境中执行以下命令重建启动配置。
bootrec /fixmbr bootrec /fixboot bootrec /rebuildbcd
对于内核驱动型Rootkit，需要定位并删除对应的.sys文件、注册表服务项以及相关的调度程序。可以通过离线挂载注册表单元来修改服务配置，也可以回到系统后使用Autoruns禁用可疑启动项。但要注意，如果系统已经被深度入侵，清除某一项可能触发自毁或再次下载机制。因此更稳妥的做法是完成关键数据备份后，直接重装操作系统、重建分区表并恢复数据。对于固件感染，仅重装系统不够，应使用主板厂商提供的固件刷新工具重写UEFI固件，并恢复BIOS默认设置。
在Linux环境下，如果确认某个内核模块是Rootkit，可以先记录模块依赖关系，再使用rmmod移除它，并检查/etc/modules-load.d或/etc/modprobe.d中是否有自动加载配置。
# 备份当前内核模块列表 lsmod > /root/lsmod_before.txt # 查看最近加载的模块 dmesg | grep -i "module" # 移除可疑模块（示例名称 evilmod） rmmod evilmod
清除完成后不要马上恢复业务，应重新启动并再次执行检测。确认高层与低层枚举结果一致、关键驱动哈希恢复正常、没有新的异常网络连接后再接入网络。整个过程中要保留每一步操作记录，以便审计。
四、预防Rootkit再次植入的加固建议
驱动签名强制和Secure Boot是阻止未授权内核代码运行的第一道屏障。在Windows上开启内存完整性HVCI，可以让内核只加载经过验证的驱动，大幅降低驱动级Rootkit的植入成功率。对Linux系统而言，可以启用内核模块签名校验，限制CONFIG_MODULE_SIG_FORCE，并根据实际需求启用Lockdown模式。UEFI固件密码和BIOS写保护也有助于防止本地攻击者刷新恶意固件。
权限治理同样重要。Rootkit安装通常需要管理员或root权限。企业环境中应移除本地管理员权限，使用LAPS管理临时提权，对域控、终端和服务器实施分层管理。应用程序白名单可以阻止攻击者执行驱动加载工具或恶意安装器。终端检测与响应EDR产品如果具备内核级传感器，能够监控驱动加载、服务创建、进程内存写入等行为，发现异常后可自动隔离主机。
最后要关注更新和备份。系统补丁不仅能修复漏洞，也能封堵攻击者用于提权和加载驱动的已知路径。关键主机应定期做离线备份，并验证备份恢复能力。因为Rootkit可能长期潜伏，通用备份中也可能包含被感染的文件。一个更可靠的策略是保留多个时间点的干净快照，在恢复前使用离线扫描器检查备份内容，避免把隐患重新带回生产环境。