用途：检测运行在 ring 0 的 Linux 内核 rootkit。此类 rootkit 会篡改内核数据结构，向用户态工具隐藏进程、文件、网络连接和内核模块，因此需要内存取证或交叉视图分析来发现。
主要能力：使用 Volatility3 的 Linux 插件 linux.check_syscall、linux.lsmod、linux.hidden_modules、linux.check_idt 检测系统调用表钩子、隐藏内核模块、被修改的 IDT 条目与函数指针；通过比对 /proc/modules、lsmod 与 /sys/module 的模块列表，找出在某一视图中被隐藏的模块；辅以 rkhunter 和 chkrootkit 扫描已知 rootkit 特征、可疑文件与被篡改的系统二进制。
使用方式：先获取 Linux 物理内存转储（LiME 内核模块、AVML 或 /proc/kcore），再运行 Volatility3 插件分析，随后做交叉视图比对，最后在实时系统上运行 rkhunter 与 chkrootkit。前置条件包括安装 Volatility3（pip install volatility3）、与目标内核版本匹配的 Volatility3 Linux 符号表（ISF），以及用于对照的已知干净内核镜像。
预期输出：JSON 报告，包含检测到的系统调用钩子、隐藏内核模块、被修改的 IDT 条目、可疑的 /proc 差异以及 rkhunter 发现。
限制：资料未提供具体命令示例、各插件的详细参数、支持的发行版或内核版本范围、误报率与性能开销等信息，暂未提供。