Un proxy multi-hop è una catena di server intermedi che inoltra il traffico da un relay al successivo prima che raggiunga la destinazione finale. Ogni hop nasconde una parte del percorso della connessione, quindi gli investigatori e i filtri di rete possono vedere solo l'ultimo relay invece della vera origine. Nella sicurezza informatica, questa tecnica viene utilizzata sia dagli strumenti per la privacy sia dagli operatori malevoli.
Gli aggressori usano i proxy multi-hop per oscurare i canali di comando e controllo, distribuire il traffico su server noleggiati o usa e getta e rendere più difficili le operazioni di rimozione. Può anche aiutare il traffico HTTPS malevolo a mimetizzarsi nel normale traffico web, soprattutto quando i relay sono progettati per assomigliare a redirector legittimi. I difensori cercano indizi come redirect ripetuti, pattern insoliti nei certificati o nel DNS, rotazione rapida dei server e connessioni in uscita che compaiono dopo attività sospette dei processi. Correlare i log del proxy, la telemetria degli endpoint e i dati del flusso di rete aiuta a rivelare l'intera catena e a identificare l'infrastruttura che la supporta.