Un implant in-memory è codice malevolo che risiede ed esegue nella RAM invece che come file chiaramente visibile su disco. Gli aggressori usano questo approccio per ridurre gli artefatti evidenti, rendere più difficile la scansione antivirus statica e mantenere attivi i propri strumenti solo finché il processo host o la sessione restano attivi. In pratica, un implant può essere caricato da uno script, da un loader o da un processo legittimo, quindi eseguire comandi, rubare dati o recuperare payload aggiuntivi senza lasciare dietro di sé un eseguibile tradizionale.
Questo è importante perché i difensori non possono fare affidamento solo sugli hash dei file o sulle scansioni basate su disco. Gli implant in-memory compaiono spesso in attacchi fileless, nell'abuso di PowerShell, nell'iniezione di processi o nel caricamento riflessivo, dove il codice viene predisposto ed eseguito direttamente in memoria. Il rilevamento di solito dipende dalla telemetria degli endpoint, dal logging dei blocchi di script, da AMSI, da regole comportamentali, dalla forensica della memoria e dal controllo delle applicazioni. Quando vengono presi di mira browser, password o wallet crypto, un implant in-memory può leggere silenziosamente i dati di sessione attivi e rubare i segreti prima che l'utente noti qualcosa di insolito.