Il malware fileless è un comportamento dannoso che viene eseguito principalmente in memoria o utilizza strumenti affidabili già presenti nel sistema, invece di depositare un evidente file eseguibile su disco. Gli attaccanti possono avviare codice tramite script, PowerShell, WMI, catene di macro o processi iniettati, rendendo l'attività più difficile da individuare con le tradizionali scansioni antivirus basate sui file.
Questo è importante perché i difensori spesso cercano file sospetti, ma le tecniche fileless possono lasciare meno artefatti pur creando comunque accesso remoto, furto di credenziali o movimento laterale. Negli attacchi reali, un RAT fileless può avviarsi dopo che un utente apre un'esca o esegue un documento, quindi mantenere il payload in memoria e comunicare attraverso la rete. Le difese si concentrano sul comportamento: alberi dei processi, registrazione degli script, analisi della memoria, controllo delle applicazioni e avvisi per attività insolite di tipo living-off-the-land.