用途：在系统疑似被入侵、但任务管理器与 netstat 等标准工具显示正常时，检测 rootkit 的隐藏行为，包括隐藏进程、被挂钩的系统调用、被修改的内核结构、隐藏文件与隐蔽网络连接。
主要能力：通过交叉视图检测对比不同枚举方式（如 Volatility 的 pslist 与 psscan）发现隐藏进程；分析 SSDT、IAT、Inline、IRP 等挂钩类型；检查内核模块与驱动、文件与注册表隐藏、隐藏网络连接与回调例程；并进行完整性校验与 YARA 扫描。
使用方式：需先获取内存转储（WinPmem、LiME），准备干净基线。常用命令包括 vol3 -f memory.dmp windows.pslist、windows.psscan、windows.ssdt、windows.driverscan、windows.netscan、windows.malfind、windows.callbacks、windows.registry.hivelist 等；Linux 侧可用 rkhunter --check --skip-keypress --report-warnings-only、chkrootkit -q；Windows 侧可用 GMER、RootkitRevealer、Sysinternals 工具及 sfc /scannow。
适用场景：EDR 报出 rootkit 特征但无法定位隐藏机制、内存取证与用户态工具输出不一致、调查可跨重启存活的持久化威胁、怀疑内核级入侵后验证系统完整性。
限制：不应作为一线检测手段，应先做常规恶意软件排查，怀疑存在隐藏行为时再升级到 rootkit 分析；避免在受感染的活动系统上运行检测工具，应优先离线内存取证；未发现 SSDT 挂钩不代表内核完整，rootkit 可能使用 DKOM 或 Inline 挂钩；需同时检查用户态与内核态组件，并核查 MBR/VBR/UEFI 引导持久化。具体工具版本、平台支持与效果以实际环境为准，资料未提供收费与价格信息。