Então vamos dar nome as Bois...rss
Rootkits em modo kernel:
Um rootkit em modo kernel é muito perigoso que o modo usuário. O rootkit em modo usuário intercepta software válido para devolver um resultado diferente, mas ainda executa processos que podem ser detectados. Um rootkit em modo kernel se esconde removendo os processos associados com ele. Isto faz com que a detecção seja mais difícil, pois é como se o rootkit não existisse. Não se mostrará no gerenciador de tarefas ou em outro software que mostre os processos em execução no computador. Para detectá-lo, é necessária uma técnica complexa para buscar discrepâncias no registro do sistema.
Rootkits em modo usuário:
Um rootkit em modo usuário penetra ainda mais fundo no sistema operacional. Ele se armazena em pastas de sistema ocultas e no registro, e realiza tarefas feitas por arquivos de sistema válidos. Como uma forma de evadir a detecção, ele intercepta o software que poderia encontrá-lo.
Rootkits persistentes:
Os rootkits persistentes se ativam na inicialização do computador. Normalmente se escondem no registro de inicialização, que é carregado pelo Windows ao ligar o computador. É difícil de detectar porque imita ações de arquivos válidos do computador e se executa sem intervenção do usuário.
Rootkits baseados em memória:
Ao contrário dos rootkits persistentes, um baseado em memória é desativado quando o computador é reiniciado. Os rootkits se escondem na RAM (memória de acesso aleatório), isso é, o espaço temporário que os programas como o Microsoft Word, o Excel, o Outlook e os navegadores da web ocupam quando estão abertos. Quando você abre um programa, o computador reserva espaço na RAM. Quando o programa finaliza, esse espaço é liberado para ser usado por outros programas. O rootkit baseado em memória faz a mesma coisa. Ocupa um espaço de endereços na RAM. Quando um computador é desligado, todos os programas são fechados e a memória é limpada, incluindo o rootkit.
Segunda questão que vejo falando dos rootkits e seus modos de atuação. Vamos lá:
"Modo de usuário: Intercepta chamadas a APIs (interfaces de programação de aplicativos) e modifica resultados retornados. Por exemplo, quando uma aplicação executa uma listagem de diretório, os resultados retornados não incluem entradas que identificam os arquivos associados ao rootkit.
Modo de kernel (núcleo): Pode interceptar chamadas a APIs nativas em modo de kernel. O rootkit também pode ocultar a presença de um processo de malware removendo-o da lista de processos ativos do kernel".
Fonte: Segurança de Computadores, Stallings, p. 147