Solaris rootkit, FreeBSD rootkit, lrk3, lrk4, lrk5, lrk6, t0rn (t0rn v8), Ambient's Rootkit for Linux (ARK), Ramen Worm, rh[67]-shaper, RSHA, Romanian rootkit, RK17, Lion Worm, Adore Worm, LPD Worm, kenny-rk, Adore LKM, ShitC Worm, Omega Worm, Wormkit Worm, dsc-rootkit, RST.b, duarawkz, knark LKM, Monkit, Hidrootkit, Bobkit, Pizdakit, Showtee, Optickit, T.R.K, MithRa's Rootkit, George, SucKIT, Scalper Worm, Slapper Worm, OpenBSD rk v1, Illogic, SK rootkit, sebek LKM, Romanian rootkit, LOC rootkit.

공격자가 해킹에 성공한 후 다음번 침입을 쉽게 하기 위해 백도어 및 트로이잔 프로그램을 설치하는데 이런 프로그램들을 루트킷이라고 한다.

루트킷에 포함되는 프로그램으로는 ps, ls, netstat, login등의 시스템 프로그램들이 있는데, 이런 루트킷은 시스템에 원래 있었던 프로그램들과 바꿔치기 되서 관리자가 시스템을 점검해도 이상 없게 보이도록 하고 공격자의 행동을 숨기기도 한다.
예를 들어 ps, ls를 바꿔치기해서 공격자가실행한 프로세스나 설치한 파일들을 확인할수 없도록 하는 것이다.

요즘은 이런 일반적인 루트킷들이 관리자들에 의해 쉽게 탐지되자 자신의 흔적을 보다 완벽하게 감추기 위해 커널기반의 루트킷을 설치하는데, 커널기반의 루트킷은 현재 실행되고 있는 커널에 공격자가 만든 커널모듈을 적재해서 시스템 함수의 정상적인 실행을 바꾸는 방법이다. 커널루트킷에 대한 자료는 아래를 참고하기 바란다.

커널기반 루트킷 분석 보고서

Linux 2.0.x, 2.2.x, 2.4.x
FreeBSD 2.2.x, 3.x, 4.x
OpenBSD 2.x and 3.x
NetBSD 1.5.2
Solaris 2.5.1, 2.6 , Solaris 8

# tar -xzvf chkrootkit.tar.gz
chkrootkit-0.39a/
chkrootkit-0.39a/COPYRIGHT
chkrootkit-0.39a/Makefile
chkrootkit-0.39a/README
chkrootkit-0.39a/README.chklastlog
chkrootkit-0.39a/README.chkwtmp
chkrootkit-0.39a/check_wtmpx.c
chkrootkit-0.39a/chkdirs.c
chkrootkit-0.39a/chklastlog.c
chkrootkit-0.39a/chkproc.c
chkrootkit-0.39a/chkrootkit
chkrootkit-0.39a/chkrootkit.lsm
chkrootkit-0.39a/chkwtmp.c
chkrootkit-0.39a/ifpromisc.c
chkrootkit-0.39a/strings.c
chkrootkit-0.39a/ACKNOWLEDGMENTS

# ls -alct|more
total 152
drwxr-xr-x 2 1000 1000 4096 Apr 2 19:28 .
drwx------ 3 jys jys 4096 Apr 2 19:28 ..
-r--r--r-- 1 1000 1000 2985 Apr 2 19:28 ACKNOWLEDGMENTS
-r--r--r-- 1 1000 1000 7191 Apr 2 19:28 check_wtmpx.c
-r--r--r-- 1 1000 1000 6680 Apr 2 19:28 chkdirs.c
-r--r--r-- 1 1000 1000 7746 Apr 2 19:28 chklastlog.c
-r--r--r-- 1 1000 1000 4976 Apr 2 19:28 chkproc.c
-rwxr-xr-x 1 1000 1000 59470 Apr 2 19:28 chkrootkit
-r--r--r-- 1 1000 1000 553 Apr 2 19:28 chkrootkit.lsm
-r--r--r-- 1 1000 1000 1945 Apr 2 19:28 chkwtmp.c
-r--r--r-- 1 1000 1000 1343 Apr 2 19:28 COPYRIGHT
-r--r--r-- 1 1000 1000 3358 Apr 2 19:28 ifpromisc.c
-r--r--r-- 1 1000 1000 1421 Apr 2 19:28 Makefile
-r--r--r-- 1 1000 1000 11279 Apr 2 19:28 README
-r--r--r-- 1 1000 1000 1323 Apr 2 19:28 README.chklastlog
-r--r--r-- 1 1000 1000 1292 Apr 2 19:28 README.chkwtmp
-r--r--r-- 1 1000 1000 2437 Apr 2 19:28 strings.c
-r--r--r-- 1 1000 1000 11279 Apr 2 19:28 README

# make sense
gcc -DHAVE_LASTLOG_H -o chklastlog chklastlog.c
gcc -DHAVE_LASTLOG_H -o chkwtmp chkwtmp.c
gcc -DHAVE_LASTLOG_H -o ifpromisc ifpromisc.c
gcc -o chkproc chkproc.c
gcc -o chkdirs chkdirs.c
gcc -o check_wtmpx check_wtmpx.c
gcc -static -o strings strings.

# ./chkrootkit
ROOTDIR is `/'
Checking `amd'... not found
Checking `basename'... not infected
...(생략)
Searching for LPD Worm files and dirs... nothing found
Searching for Ramen Worm files and dirs... nothing found
Searching for Maniac files and dirs... nothing found
Searching for RK17 files and dirs... nothing found
Searching for Ducoci rootkit... nothing found
Searching for Adore Worm... nothing found
Searching for ShitC Worm... nothing found
Searching for Omega Worm... nothing found
Searching for Sadmind/IIS Worm... nothing found
...

aliens asp bindshell lkm rexedcs sniffer wted scalper slapper z2 amd basename
biff chfn chsh cron date du dirname echo egrep env find fingerd gpm grep
hdparm su ifconfig inetd inetdconf identd killall ldsopreload login ls lsof mail
mingetty netstat named passwd pidof pop2 pop3 ps pstree rpcinfo rlogind
rshd slogin sendmail sshd syslogd tar tcpd tcpdump top telnetd timed traceroute
w write

# ./chkrootkit ps ls
ROOTDIR is `/'
Checking `ps'... not infected
Checking `ls'... not infected

# ./chkrootkit -r /mnt