用途：检测运行在 ring 0、通过篡改内核数据结构隐藏进程、文件、网络连接和内核模块的 Linux 内核 rootkit，适用于安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析流程，以及验证相关攻击技术的监控覆盖。
主要能力：用 Volatility3 Linux 插件 linux.check_syscall 检测系统调用表钩子，linux.lsmod 与 linux.hidden_modules 发现隐藏内核模块，linux.check_idt 检查中断描述符表是否被修改；通过比较 /proc/modules、lsmod 和 /sys/module 的模块列表做交叉视图分析，找出只在一个视图中出现的模块；使用 rkhunter 和 chkrootkit 扫描已知 rootkit 特征、可疑文件与被篡改的系统二进制；可输出 JSON 报告，包含系统调用钩子、隐藏模块、被修改的 IDT 项、/proc 差异及扫描结果。
使用方式：前置条件包括安装 Volatility3（pip install volatility3）、获取 Linux 内存转储（通过 LiME、AVML 或 /proc/kcore）、准备与目标内核版本匹配的 Volatility3 Linux 符号表（ISF），并安装 rkhunter 与 chkrootkit，同时保留已知干净的内核镜像用于对比。流程为：先采集物理内存，再用 Volatility3 运行上述插件分析，接着做交叉视图分析，最后在实时系统上运行 rkhunter 和 chkrootkit。示例命令：sudo python3 rootkit_analyzer.py --memory /evidence/linux-mem.lime --profile Ubuntu2204。
限制：依赖可用的内存转储和匹配的符号表，须有已知干净的内核镜像做对照；rkhunter、chkrootkit 主要识别已知特征。上述流程、插件与命令均来自所给资料，具体实现脚本及部署方式暂未提供。