Il malware post-compromissione è un malware costruito per essere eseguito dopo che un attaccante ha già ottenuto un primo punto d'appoggio. I suoi obiettivi principali sono la persistenza, il controllo furtivo e attività successive come il furto di credenziali, il movimento laterale, la raccolta di dati o la preparazione di payload successivi. A differenza del malware downloader, che si concentra בעיקר sul forzare l'ingresso, gli strumenti post-compromissione sono progettati per rimanere utili all'interno di un ambiente compromesso.
Questo è importante perché i difensori devono guardare oltre la prima intrusione. Il malware post-compromissione spesso utilizza software attendibile, la creazione di servizi, il DLL sideloading, attività pianificate o canali di comando e controllo crittografati per confondersi con l'attività normale. In pratica, i team di sicurezza cercano catene di processi padre-figlio insolite, caricamenti di librerie inattesi, connessioni in uscita sospette e meccanismi di persistenza ricorrenti. L'idea difensiva chiave è semplice: una volta ottenuto l'accesso, la vera minaccia potrebbe essere il software che trasforma silenziosamente una breve violazione in un'intrusione di lunga durata.