Un implant ELF è un eseguibile Linux malevolo impacchettato nel formato ELF (Executable and Linkable Format) usato dai sistemi Unix-like. Gli aggressori lo collocano su un server per mantenere l'accesso, modificare il comportamento dell'host o fare da proxy e alterare il traffico in modo discreto. Poiché sembra un binario normale, può confondersi con le directory di sistema, i job pianificati o i percorsi dei servizi se i difensori non stanno verificando l'integrità dei file.
Gli implant ELF sono importanti perché i server Linux spesso eseguono servizi esposti al pubblico e contengono dati sensibili. Una volta eseguito, un implant può creare persistenza, aprire una backdoor, intercettare richieste web o raccogliere credenziali e dettagli di configurazione. In attacchi reali, i difensori possono individuarli tramite processi insoliti, connessioni di rete inattese, script di avvio modificati o binari con permessi e hash sospetti. Cercare file ELF sconosciuti e convalidarli rispetto a baseline attendibili è una parte fondamentale della difesa del server.