Una backdoor persistente è malware o un implant che preserva l'accesso remoto su un sistema dopo la fase iniziale di infezione. Di solito crea una voce di avvio, un launch agent, un'attività pianificata, un elemento di accesso, un servizio o un altro meccanismo di persistenza, in modo che l'attaccante possa riconnettersi anche dopo un riavvio o una pulizia parziale.
Questo è importante perché trasforma una compromissione una tantum in un accesso di lunga durata. I difensori possono rimuovere il primo dropper e comunque non individuare il componente che riapre la porta in seguito. Negli attacchi reali, le backdoor persistenti spesso lavorano con loader in più fasi, payload cifrati o infrastrutture di command-and-control per mantenere il controllo stabile e silenzioso. I team di sicurezza cercano artefatti di persistenza, catene di processi padre-figlio insolite, connessioni in uscita inattese ed esecuzioni ripetute dello stesso binario o script. Considerare la persistenza come un segnale di rilevamento fondamentale è spesso il modo più rapido per individuare e contenere la compromissione.