Un RAT modulare, o trojan di accesso remoto, è un malware costruito da un caricatore principale più componenti aggiuntivi. L'impianto di base stabilisce l'accesso, poi scarica o attiva moduli per attività come acquisizione dello schermo, keylogging, furto di credenziali, persistenza, movimento laterale o esfiltrazione. Poiché le funzionalità possono essere aggiunte dopo l'infezione, la stessa famiglia di malware può essere riutilizzata contro bersagli diversi senza modificare il metodo di consegna iniziale.
Questo è importante nella sicurezza informatica perché la modularità riduce gli indizi che i difensori possono vedere all'inizio. Un piccolo loader di prima fase può sembrare meno sospetto di un payload completo, mentre i moduli successivi arrivano solo quando l'attaccante ne ha bisogno. Nelle intrusioni reali, i difensori possono notare nuovi beacon di rete, assembly .NET inattesi o comandi che recuperano funzionalità aggiuntive da infrastrutture remote. Le difese efficaci si concentrano sul comportamento dell'endpoint, sull'ascendenza dei processi, sulle anomalie di firma del codice e sul blocco delle connessioni in uscita per fermare il malware prima che i suoi moduli espandano la compromissione.