北卡大学蒋旭宪教授团队开发了一个Android上的点击劫持型rootkit原型。从新闻和视频来看，这个rootkit可以做到：

1. 隐藏，使已经安装的软件在桌面、launcher和系统设置中消失，但实际上依然存在于手机系统中并能正常运行，恶意代码可以利用这个技术隐藏自身；

2. 劫持，使桌面或launcher中的图标被用户点击后，实际执行其他的恶意应用软件，后者可以伪装成前者，实现进一步的攻击。

新闻地址是：

http://web.ncsu.edu/abstract/technology/wms-jiang-clickjack/

视频演示位于：

http://www.youtube.com/watch?v=RxpMPrqnxC0

个人猜测攻击的是系统中intent-filter相关的数据库。但视频是在官方ROM中实现的，也就是说没有获得root权限就做到了攻击，所以应该不是直接修改数据库。