Il failover automatico è una funzionalità di resilienza che consente al malware di passare da un server primario di comando e controllo a un server di backup quando il primo percorso è bloccato, offline o messo fuori uso dai difensori. Invece di dipendere da un solo indirizzo o dominio, l'implant mantiene pronto un secondo canale di comunicazione.
Questo è importante perché rende più difficile l'interruzione. Un difensore può mettere in sinkhole, bloccare o sequestrare un server e vedere comunque il malware continuare a operare tramite il percorso di fallback. Negli attacchi reali, il failover automatico supporta la persistenza, l'assegnazione remota dei task e il furto di dati preservando l'accesso dell'operatore dopo un'interruzione di rete. Per i difensori, tentativi di connessione ripetuti, cambi improvvisi delle destinazioni C2 e domini o IP di backup sono indizi che un implant è stato costruito per sopravvivere alle neutralizzazioni.