Anti-RootKit-programvara använder flera metoder för att upptäcka rootkits, men två framstående är:
1. Beteendeanalys: Denna metod övervakar systemaktiviteten för misstänkt beteende som indikerar en rootkits närvaro. Detta inkluderar ovanliga systemsamtal, förändringar i filsystemets åtkomstmönster (t.ex. filer dolda från vy eller modifierade utan användarinteraktion), nätverksaktivitet och oväntad drivrutinbelastning. Istället för att leta efter specifika signaturer av kända rootkits fokuserar det på att identifiera åtgärder som ligger utanför normen för ett friskt system.
2. Signaturbaserad detektion: Denna traditionella metod förlitar sig på en databas med kända rootkit -signaturer (kodavsnitt, filhash, registernycklar). Programvaran skannar systemfiler och minne för matchningar till dessa signaturer. Om en match hittas indikerar det närvaron av en känd rootkit. Även om det är effektivt mot kända hot, är det mindre effektivt mot nya eller polymorfa rootkits som ännu inte har lagts till i signaturdatabasen.
