I payload in memoria sono componenti malevoli che vengono eseguiti nella RAM di un sistema invece di essere archiviati ed eseguiti come file evidenti su disco. Gli aggressori possono caricare il codice direttamente in un processo, decifrarlo solo in fase di esecuzione oppure usare script e comandi shell per mantenere il payload temporaneo.
Questo è importante perché gli antivirus basati su disco e i controlli forensi spesso cercano eseguibili sospetti, DLL rilasciate o nuovi file. Quando il payload vive principalmente in memoria, questi artefatti potrebbero non comparire mai, rendendo più difficile il rilevamento e l'analisi. Nelle intrusioni reali, il codice residente in memoria viene spesso usato per il furto di credenziali, l'esecuzione di comandi, il movimento laterale o il tunneling di rete dopo l'accesso iniziale. I difensori rispondono monitorando il comportamento dei processi, l'attività degli script, le tecniche di injection e le connessioni di rete insolite, quindi correlando questi segnali con i log degli endpoint e delle identità. L'obiettivo è intercettare ciò che il file system non mostra più.