Увидел тут много кода и башей, но по сути – корень беды в том, что руткит в ядре реально контролирует систему на уровне, где обычные утилиты уже бессильны. Поэтому без дампа памяти или глубокой отладки почти ничего не поймать. Эдакая игра в прятки с ядром, где самый надёжный способ — смотреть память напрямую, иначе руткит просто замаскирует себя и свои процессы.