Il desktop di input è il desktop Windows attivo che riceve l'input da tastiera e mouse. Windows può ospitare più desktop in una singola sessione, ma solo un desktop alla volta è l'attuale destinazione dell'input. Gli oggetti dell'interfaccia utente di Windows, comprese le finestre e i processi ad esse associati, possono esistere su un desktop diverso da quello visibile all'utente.
Questo è importante per la sicurezza perché il malware può creare o passare a un desktop nascosto per tenere l'attività dell'operatore fuori dalla vista pur continuando a usare applicazioni normali, come un browser, all'interno della stessa sessione. Ciò può favorire il controllo remoto furtivo, l'abuso di credenziali o la frode senza popup evidenti sullo schermo visibile. I difensori dovrebbero monitorare la creazione e il passaggio tra desktop, i processi GUI insoliti e le catene di processi padre-figlio che non corrispondono al normale comportamento dell'utente. Un processo su un desktop nascosto può essere ancora pienamente attivo anche se non è visibile all'utente.