Il malware residente in memoria è codice malevolo che viene eseguito principalmente nella RAM invece di rimanere su disco come un normale file. Gli aggressori possono caricarlo tramite reflective loading, injection di processo oppure un piccolo loader che decripta il payload solo in memoria. Poiché il payload principale potrebbe non essere mai scritto nel filesystem, le scansioni antivirus e l'analisi forense del disco possono perdere prove importanti.
Questo è rilevante nella sicurezza informatica perché riduce gli artefatti, velocizza l'esecuzione e può aiutare il malware a scomparire quando un processo termina o un sistema si riavvia. Nelle attacchi reali, gli implant residenti in memoria sono spesso associati a binari legittimi, loader specifici per la vittima o framework modulari per rendere più difficile l'analisi. I difensori rispondono monitorando il comportamento dei processi, ispezionando la memoria, correlando le catene di processi padre-figlio e cercando caricamenti di moduli insoliti o attività di rete. Il rilevamento basato sui file è ancora utile, ma da solo non basta.