Een systeembeheerder ontvangt de volgende waarschuwing van een tool voor bestandsintegriteitsbewaking: De hash van het bestand cmd.exe is gewijzigd. De systeembeheerder controleert de OS-logs en merkt op dat er de afgelopen twee maanden geen patches zijn toegepast. Wat is waarschijnlijk de oorzaak?

Een wijziging in de hash van een kritiek systeembestand zoals cmd.exe, zonder recente patches of legitieme systeemwijzigingen, duidt sterk op ongeautoriseerde manipulatie. Dit is een klassiek teken van een rootkit, die vaak systeembestanden wijzigt om zijn aanwezigheid te verbergen en controle te behouden. De eindgebruiker die bestandsrechten wijzigt, zou de hash van het bestand zelf niet veranderen. Een cryptografische botsing is theoretisch mogelijk, maar extreem onwaarschijnlijk voor een specifiek systeembestand in een reële situatie. Een snapshot van het bestandssysteem wijzigt het originele bestand niet; het creëert een kopie.