L'esecuzione di shellcode in memoria significa eseguire il codice del payload direttamente all'interno della RAM di un processo invece di scrivere un eseguibile completo su disco. Il payload può essere decompresso, decrittografato o iniettato nella memoria e quindi eseguito come shellcode, un piccolo codice macchina progettato per funzionare senza la normale struttura di file di un programma.
Questo è importante perché gli strumenti di sicurezza basati su disco hanno meno elementi da ispezionare e possono rimanere meno artefatti di file. Gli aggressori usano l'esecuzione in memoria per ridurre le rilevazioni, evitare semplici controlli basati su hash e rendere più difficile il recupero dopo la pulizia. I difensori cercano l'iniezione di processi, permessi di memoria sospetti come pagine RWX, caricamenti insoliti di moduli e comportamenti di script o loader che creano memoria eseguibile. L'analisi forense della memoria, la telemetria EDR e il tracciamento del caricamento delle DLL sono spesso più utili dell'analisi limitata ai file quando è coinvolta questa tecnica.