Il runtime .NET è l'ambiente di esecuzione che esegue le applicazioni Windows gestite. Fornisce servizi come la gestione della memoria, la sicurezza dei tipi, il caricamento degli assembly, la compilazione JIT e la configurazione di avvio tramite file, variabili di ambiente e impostazioni del runtime. In pratica, decide come un programma .NET inizia l'esecuzione e quale codice carica per primo.
Questo rende il runtime un bersaglio interessante per gli aggressori. Se riescono ad alterare le impostazioni di avvio, reindirizzare la risoluzione degli assembly o abusare di funzionalità di configurazione come il comportamento di AppDomain, possono far caricare codice malevolo a un'applicazione fidata pur facendola apparire legittima. I difensori monitorano file del runtime insoliti, caricamenti inattesi di DLL o assembly, directory dell'applicazione scrivibili e modifiche sospette al comportamento di avvio dei processi. Rafforzare il percorso del runtime aiuta a bloccare il sideloading, la manomissione della configurazione e altri attacchi che si nascondono nell'esecuzione normale del software.