Un trigger di rete è un pacchetto, messaggio o sequenza di protocollo specifici che causano l'attivazione di malware inattivo. Invece di beacon, callback o traffico costante di comando e controllo, l'implant rimane silenzioso finché non vede l'esatta condizione di rete che è programmato a riconoscere.
Questo è importante perché il malware basato su trigger è più difficile da individuare con il solo monitoraggio del traffico. Un difensore potrebbe non vedere connessioni in uscita sospette finché non arriva il pacchetto di attivazione, e anche allora il comportamento malevolo potrebbe essere breve o limitato a una sola volta. Gli aggressori usano i trigger per nascondere i payload, ritardare l'esecuzione o richiedere che un operatore conosca un formato segreto. I difensori cercano pattern di pacchetti insoliti, logica di parsing nascosta ed eventi dell'endpoint che seguono uno specifico messaggio in ingresso. Combinare l'ispezione della rete con la telemetria dell'host è spesso il modo migliore per individuare questo tipo di minaccia dormiente.