Windows rootkits zijn meestal een combinatie van "usermode" rootkits, die als een normale applicatie draaien (mogelijk via een geinjecteerde dll) en "kernelmode" rootkits, dat eigenlijk device drivers zijn die met de allerhoogste rechten draaien. De kernel mode rootkit verbergt bestanden en netwerk verbindingen en de meer geavanceerde varianten bieden een kernel mode backdoor. Dit betekent dat alle functionaliteit in één driver (.sys bestand) verwerkt is, waardoor de rootkit, eenmaal actief, zeer lastig te vinden is.

De aanvaller zal echter zelden alle functionaliteit alleen in de driver verwerken, en is nog steeds afhankelijk van usermode applicaties voor dingen zoals ftp servers, irc bots etc. Een Engelse student heeft nu een proof of concept ontwikkeld van een kernel mode driver waar al deze tools al in verwerkt zijn.

Tibbar, zoals de ontwikkelaar heet, heeft volgens eigen zeggen de eerste Kernel Mode Ircbot ter wereld geschreven, wat een gigantische stap voorwaarts voor de ontwikkeling van rootkits is. Omdat Tibbar weinig tijd heeft om de bot verder te ontwikkelen, heeft hij besloten zijn kennis met de wereld te delen.

Volgens sommige experts stelt de Kernel Mode Ircbot niet zoveel voor, omdat Tibbar de kernel-mode socket library van Valerino, iemand die regelmatig bijdrages levert aan rootkit.com, heeft gebruikt. Het publiceren van de code is echter vooral handig voor scriptkiddies. Oliver van Lavasoft ziet het dan ook als een uitdaging waarbij de tegenstanders hun fiets hebben vervangen door een auto.