RootkitRevealer è un'utilità di rilevamento rootkit avanzata. Funziona su Windows NT 4 e superiore e relativo output Elenca file e del Registro di sistema discrepanze API sistema che possono indicare la presenza di un rootkit user-mode o kernel-mode. RootkitRevealer rileva correttamente molti rootkit persistente AFX, Vanquish e HackerDefender (Nota: RootkitRevealer non è destinato a rilevare i rootkit come Fu che non cerca di nascondere le loro file o chiavi di registro). Poiché i rootkit persistenti lavorano modificando API risultati così che una vista di sistema utilizzando le API differisce dalla vista reale in archiviazione, RootkitRevealer confronta i risultati di una scansione del sistema al massimo livello con quello al livello più basso. Il livello più alto è l'API di Windows e il livello più basso è il contenuto grezzo di un volume con file system o un hive del Registro di sistema (un file hive è il formato di archiviazione su disco del Registro). Così, i rootkit, se modalità utente o kernel, che manipolano l'API Windows o nativo per rimuovere la loro presenza da una directory listing, ad esempio, sarà visto da RootkitRevealer come una discrepanza tra le informazioni restituite dall'API di Windows e che vede nella scansione di strutture di un volume FAT o NTFS file system raw.
