Un framework post-compromissione è un insieme di strumenti che un attaccante utilizza dopo aver ottenuto l'accesso iniziale a un sistema. Invece di svolgere un solo compito, organizza più funzioni come persistenza, escalation dei privilegi, movimento laterale, esecuzione di comandi, raccolta dei dati e preparazione di payload aggiuntivi. Questo rende l'intrusione più facile da controllare e più difficile da rimuovere rispetto a un singolo impianto autonomo.
Nella sicurezza informatica, questi framework sono importanti perché spesso trasformano una violazione breve in una presenza persistente di lunga durata. Possono essere modulari, cifrati o confezionati in formati di file personalizzati per rallentare l'analisi ed eludere il rilevamento. I difensori possono individuarli tramite catene di processi insolite, caricamento sospetto di DLL, beacon di rete anomali o relazioni inattese tra file e applicazioni. Monitorare il comportamento, non solo i nomi dei file o gli hash, è fondamentale per individuare e interrompere questo tipo di attività successiva.