Pay-per-install è un modello di business del malware in cui un operatore paga un distributore per ogni installazione riuscita di un programma dannoso o indesiderato. Il programma di installazione può essere un file di setup trojanizzato, un download ingannevole o un payload in bundle nascosto dietro contenuti dall'aspetto legittimo. Il PPI è importante perché trasforma l'infezione in una supply chain misurabile: l'attaccante può acquistare copertura, scalare rapidamente la distribuzione e sostituire i payload senza ricostruire l'intero sistema di consegna.
Negli attacchi reali, il PPI spesso si manifesta tramite avvelenamento SEO, pagine di download false, software crackato, reindirizzamenti del browser o canali di contenuto di cui gli utenti si fidano già. I difensori dovrebbero monitorare comportamenti insoliti degli installer, modifiche alle impostazioni del browser, estensioni rogue e chiamate di rete inattese dopo un download. Bloccare gli URL dannosi aiuta, ma le campagne PPI richiedono anche controlli di consapevolezza degli utenti e telemetria in grado di individuare il livello di distribuzione, non solo il campione finale di malware.