Qual è il principio di funzionamento di un rootkit e perché è difficile da rilevare?