L'infrastruttura malware è l'insieme di domini, server, redirector, provider di hosting e servizi online che il malware utilizza per rimanere raggiungibile e utile. È l'"impianto" dietro il comando e controllo, la distribuzione del payload, gli aggiornamenti, il furto di dati e l'instradamento del traffico. In alcune campagne, questo include anche sistemi di coordinamento peer o canali di riserva che mantengono i dispositivi infetti connessi anche se un componente viene rimosso.
Questo è importante perché i difensori possono talvolta interrompere un'operazione senza toccare ogni host infetto. Mettere fuori uso o sequestrare l'infrastruttura può fermare i nuovi comandi, interrompere la comunicazione con i bot e impedire al malware di scaricare aggiornamenti o esfiltrare dati. In pratica, i difensori cercano registrazioni di domini, intervalli IP, certificati, modelli DNS e relazioni di hosting per mappare il piano di controllo di un attaccante. Gli attaccanti rispondono usando domini che cambiano rapidamente, bulletproof hosting o progetti decentralizzati come le reti peer-to-peer per rendere più difficili le operazioni di abbattimento. Interrompere l'infrastruttura è efficace, ma non equivale a ripulire gli endpoint; i sistemi infetti hanno ancora bisogno di rilevamento e bonifica.