Una catena di esecuzione fileless è un percorso di attacco che avvia attività dannose tramite script, strumenti living-off-the-land o azioni in memoria invece di rilasciare un eseguibile convenzionale su disco. Il file visibile può essere un documento, un allegato o un wrapper di script, mentre la logica dannosa viene assemblata ed eseguita al momento dell'esecuzione.
Questo è importante perché molti strumenti di sicurezza si affidano ancora ad artefatti su disco come hash, binari in quarantena ed eventi di creazione file. Le catene fileless riducono questi segnali e possono rendere più difficile l'ispezione, soprattutto se combinate con offuscamento di script o interpreti insoliti come JScript, PowerShell o WMI. Negli attacchi reali, i difensori spesso le individuano tramite il comportamento dei processi, la telemetria degli script, gli argomenti della riga di comando e il rilevamento incentrato sulla memoria, invece di attendere la comparsa di un file payload. Bloccare modelli rischiosi di avvio degli script e rivedere in anticipo gli allegati sospetti può interrompere la catena prima che credenziali o dati vengano rubati.