Un attacco senza malware è un'intrusione che non si basa sull'introduzione di file dannosi evidenti. Invece, l'attaccante utilizza strumenti legittimi, credenziali valide, funzionalità integrate del sistema operativo, servizi remoti o funzioni cloud attendibili per muoversi all'interno di un obiettivo. Poiché l'attività spesso assomiglia a una normale amministrazione, può aggirare le difese che si concentrano soprattutto sulla scansione dei binari o sul rilevamento di firme.
Questo è importante nella sicurezza informatica perché molte intrusioni moderne sono in realtà problemi di comportamento, non problemi di malware. I difensori cercano combinazioni sospette come un accesso riuscito da una posizione insolita, improvvisi cambi di privilegio o attività di comando remoto che non si adattano alle normali operazioni. Tra le misure difensive comuni ci sono il monitoraggio delle identità, la telemetria degli endpoint, i log di audit cloud, l'analisi dei flussi di rete e la correlazione incrociata degli avvisi. Tattiche come il living off the land e l'abuso di account validi sono esempi classici di tecniche di intrusione senza malware.