Un dead drop resolver è una tecnica covert di command-and-control in cui il malware e il suo operatore usano un servizio di terze parti fidato come punto di scambio. Invece di connettersi direttamente a un server controllato dall'attaccante, l'implant legge le istruzioni da un oggetto condiviso, come un evento del calendario, un documento, un campo del profilo o una nota cloud, e può scrivere nello stesso punto lo stato o i dati rubati. La parte “resolver” si riferisce al fatto che il malware interpreta quella posizione pubblica o semi-pubblica come propria fonte di verità.
Questo è importante perché il traffico appare come il normale utilizzo di un servizio legittimo, il che può aggirare semplici blocchi di rete e confondersi con l'attività aziendale ordinaria. Gli addetti alla difesa cercano chiamate API insolite, autorizzazioni delle app sospette, modifiche anomale agli oggetti e modelli di accesso che non corrispondono all'utente o al carico di lavoro. Controlli forti sull'identità, revisione del consenso, registrazione di audit e monitoraggio della telemetria cloud sono difese fondamentali, soprattutto quando gli attaccanti abusano di Microsoft 365, piattaforme di file sharing o altri servizi SaaS fidati.