Rootkity mogą działać w trybie użytkownika () lub systemu operacyjnego ().
Rootkit może się dostać do komputera użytkownika wraz z aplikacją będącą w rzeczywistości trojanem.
Wykrywanie rootkitów Rootkity w postaci pliku binarnego są wykrywane przez większość programów antywirusowych, ale tylko do momentu ich uruchomienia w systemie.
Wykrycie rootkita w zarażonym systemie jest skrajnie trudne, ponieważ rootkit jest w stanie kontrolować pracę nawet narzędzi specjalizowanych do jego wykrywania i oszukiwać je tak, by błędnie informowały użytkownika, że system jest czysty. Takie techniki stosowała m.in. komercyjna wersja rootkita do początku 2006 roku, kiedy projekt został zamknięty.
Do wykrywania rootkitów stosuje się najczęściej technikę porównania krzyżowego (ang. ), w którym porównujemy listę plików w katalogu zwróconą przez API systemu operacyjnego oraz odczytaną bezpośrednio z systemu plików. Analogicznie weryfikuje się rejestr w Windows (wynik z API oraz bezpośrednio z pliku rejestru). W zdrowym systemie oba wyniki powinny być identyczne, rekordy istniejące na drugiej liście, a nie zwrócone przez API, są prawdopodobnie ukrywane przez rootkit.