Il malware di spionaggio è un software progettato per raccogliere segretamente informazioni nel tempo. Invece di distruggere file o richiedere un riscatto, si concentra su furtività, persistenza e furto attento di dati. Gli obiettivi comuni includono il furto di email, documenti, credenziali, screenshot, sequenze di tasti o dettagli di rete, evitando di attirare l'attenzione.
Questo è importante perché il danno spesso all'inizio è invisibile: un attaccante può rimanere all'interno di una rete abbastanza a lungo da mappare i sistemi ed estrarre informazioni sensibili da obiettivi governativi, diplomatici o della difesa. Negli attacchi reali, il malware di spionaggio spesso appare come una backdoor, un trojan o un loader che comunica silenziosamente con un server di controllo, utilizza un comportamento limitato per eludere il rilevamento e si mescola con l'attività normale. I difensori cercano accessi insoliti, meccanismi di persistenza nascosti, traffico in uscita sospetto e modelli comportamentali anziché basarsi solo sugli hash noti dei file.