Il malware personalizzato è codice dannoso creato o modificato per una vittima, un dispositivo o un ambiente di rete specifici. A differenza del malware comune, è spesso adattato al sistema operativo del bersaglio, all'architettura, ai controlli di sicurezza e ai normali modelli di traffico. Questo lo rende più difficile da rilevare con firme generiche e regole comportamentali.
Nella sicurezza informatica, il malware personalizzato è importante perché di solito segnala un'intrusione deliberata anziché un abuso opportunistico. Gli aggressori possono usarlo per mantenere la persistenza, evitare il rilevamento su un appliance o su un server, oppure eseguire azioni successive da un punto di accesso fidato, come un gateway VPN o un dispositivo perimetrale. I difensori cercano binari insoliti, modifiche sospette alla configurazione e comportamenti di processo o di rete che non corrispondono al ruolo normale del dispositivo. Nei sistemi con un monitoraggio endpoint limitato, i controlli di integrità e la revisione dei log sono particolarmente importanti.