Un impianto Linux è malware creato per essere eseguito su sistemi Linux e dare a un attaccante un controllo persistente o interattivo. Può aprire una shell remota, eseguire comandi, fare da proxy al traffico o rimanere in attesa per un uso successivo. Poiché Linux alimenta server, container, carichi di lavoro cloud e dispositivi di rete, un impianto su un host può dare a un operatore un punto d'appoggio in infrastrutture di valore.
Negli attacchi reali, gli impianti Linux spesso compaiono dopo una compromissione della supply chain, una campagna di phishing o lo sfruttamento di un servizio esposto. Possono essere usati per il proxying SOCKS5, il forwarding TCP, il furto di credenziali o il pivoting interno, trasformando una macchina compromessa in un relay per un accesso più profondo. I difensori cercano nuovi servizi sospetti, binari sconosciuti, connessioni in uscita insolite e un host Linux che funge da intermediario inatteso. Controlli rigorosi sulla provenienza del software, il principio del privilegio minimo, il monitoraggio runtime e la segmentazione della rete aiutano a limitare i danni quando un impianto arriva a destinazione.