Il process ghosting è un trucco di esecuzione di Windows che avvia un processo da uno stato del file che non è più presente nel modo normale, spesso creando un processo da un mapping di file in stato di delete-pending o altrimenti nascosto. Il risultato può essere un processo in esecuzione il cui file di supporto è difficile da ispezionare, hashare o recuperare con strumenti standard basati sui file.
Questo è importante perché molte difese si basano ancora sulla presenza di un file su disco prima di poterlo analizzare. Gli aggressori usano il process ghosting per ridurre la probabilità di analisi statica, ritardare la raccolta del campione e rendere più difficile la risposta all'incidente. In intrusioni reali può comparire insieme ad altri metodi di elusione come packing, abuso di driver vulnerabili o catene insolite di processi padre-figlio. I difensori dovrebbero monitorare eseguibili di breve durata, artefatti deleted-on-close ed eventi di creazione di processi che non corrispondono a un normale ciclo di vita del file. Una forte telemetria EDR, il controllo delle applicazioni e il monitoraggio del file system aiutano a individuare questa tecnica.