Weil sich Rootkits aktiv gegen ihre Erkennung in einem laufenden System wehren, lassen sie sich fast nur erkennen, wenn das System in einen speziellen Zustand gebracht wird, dieser Zustand ist dann der Anti Rootkit Scan.