Nem todos rootkits funcionam igual. Porém, muitos rootkits modificam arquivos no kernel do sistema operacional, um programa no núcleo do seu computador, que controla todas as outras partes, para ocultar sua presença durante uma inspeção padrão do sistema. Por exemplo, um rootkit pode desativar a capacidade de registrar eventos no seu computador, para que não haja nenhum registro sobre o ataque.