Il malware basato su plugin è un programma malevolo modulare il cui payload principale può caricare componenti aggiuntivi dopo l'infezione. L'impianto di base di solito fornisce persistenza, comunicazione con un server di comando e controllo e controllo di base, mentre i plugin aggiungono funzioni come keylogging, cattura dello schermo, furto di credenziali, acquisizione audio o abuso della sessione del browser.
Questo progetto è importante perché consente agli aggressori di modificare le capacità senza sostituire l'intera famiglia di malware. Un campione può sembrare familiare ai difensori mentre il suo comportamento cambia tramite nuovi moduli consegnati in seguito. Negli attacchi reali, questa flessibilità aiuta gli operatori a personalizzare spyware, strumenti di supporto per ransomware o trojan di accesso remoto per un bersaglio. I difensori cercano il caricamento dinamico dei moduli, download insoliti di plugin e nuovi comportamenti che compaiono su un impianto altrimenti già noto. Il controllo delle applicazioni, il monitoraggio della rete, il rilevamento sugli endpoint e la limitazione dei privilegi degli utenti possono ridurre la probabilità che nuovi plugin vengano aggiunti o eseguiti.