ジェイミー・バトラー

初期のルートキットはシステムコールをフックしており、呼び出しテーブルを調べれば見つけられた。バトラーはそれを迂回した。2004年のBlack Hatで発表したDirect Kernel Object Manipulationでは、ルートキットがカーネルのデータ構造を直接書き換える。Windowsがプロセスを列挙するのに使う双方向リストからプロセスを外しても、スケジューラはスレッドを単位に動くため、プロセスは動き続ける。フックもなく、見つけるべき痕跡もない。彼のFUルートキットは参照実装になった。

2005年にはグレッグ・ホグランドと『Rootkits: Subverting the Windows Kernel』を共著した。その後は、両者の違いがあるとすればの話だが、反対側に回り、Mandiantでメモリフォレンジックを構築した。彼が世に作り方を教えた不整合を、まさに探し出すツールである。