La compilazione sul host significa creare malware o strumenti dell'attaccante direttamente sulla macchina vittima invece di copiare un binario già pronto. Un intruso può usare un compilatore, script o una toolchain di compilazione già presenti sul sistema per produrre un payload adatto all'ambiente di destinazione.
Questo è importante perché può ridurre la dipendenza da depositi di file evidenti e può aiutare gli attaccanti a adattare il codice all'host prima dell'esecuzione. Tuttavia, crea anche tracce rumorose: processi del compilatore, file temporanei di compilazione, download di dipendenze, processi figli insoliti e improvvisa attività della CPU o del disco. I difensori cercano questi segnali, soprattutto quando compaiono insieme a accessi remoti non autorizzati, nuova persistenza o modifiche agli strumenti di sicurezza. Nella risposta agli incidenti, la compilazione sul host spesso indica attività manuale dell'operatore piuttosto che una distribuzione di malware completamente automatizzata.