Un proxy back-connect è un design di malware o post-compromissione in cui un host infetto fa più che attendere i comandi: apre una connessione in uscita e inoltra attraverso di sé il traffico dell'attaccante. Invece di agire solo come vittima, il sistema diventa un nodo di trasporto nel percorso dell'attaccante, inoltrando sessioni di controllo, traffico di pivot o altri flussi di dati.
Questo è importante perché il proxying in uscita può confondersi con il normale comportamento della rete e aggirare semplici difese che bloccano le connessioni in ingresso. Inoltre oscura l'attribuzione: i log possono mostrare l'host compromesso come sorgente del traffico, anche se l'operatore si trova dietro di esso. I difensori cercano connessioni in uscita insolite, comportamenti di relay inattesi e abuso dei protocolli, soprattutto quando viene usato come copertura un servizio legittimo o un protocollo di attraversamento NAT. Nelle operazioni reali, i proxy back-connect sono spesso combinati con la persistenza, così che il relay sopravviva al riavvio e possa continuare a servire l'operatore.