Un toolkit di post-exploitation è un insieme di utilità usate dopo che un attaccante ha già ottenuto l'accesso iniziale a un sistema. Il suo scopo è trasformare un punto d'appoggio in un controllo più profondo: enumerare l'ambiente, raccogliere credenziali, elevare i privilegi, spostarsi lateralmente, mantenere la persistenza e predisporre i dati per l'esfiltrazione o per una successiva consegna di malware.
Questi set di strumenti sono importanti perché la prima compromissione è spesso solo l'inizio di un'intrusione. Negli attacchi reali, possono includere strumenti di amministrazione remota, utilità per il dump delle credenziali, supporti per il trasferimento di file e script per il riconoscimento o l'elusione delle difese. Per i difensori, vedere un toolkit in uso può indicare una campagna attiva e multistadio invece di una violazione isolata. Cercare righe di comando sospette, creazione insolita di servizi, attività di webshell e accessi ripetuti a percorsi sensibili può aiutare a scoprire tempestivamente comportamenti di post-exploitation.