Un agente di accesso remoto è il componente software che viene eseguito su un dispositivo e crea una sessione live verso una console operatore. Gestisce la connessione, l'autenticazione, il controllo dello schermo, l'input da tastiera e mouse, il trasferimento di file e, talvolta, gli appunti o l'esecuzione di comandi. In un uso legittimo, supporta l'amministrazione remota, il lavoro dell'helpdesk e la manutenzione dei dispositivi.
In ambito di sicurezza informatica, lo stesso agente può diventare un potente strumento di intrusione. Se un attaccante persuade un utente a installare un prodotto RMM o di supporto remoto, l'agente può fornire accesso interattivo che sembra una normale attività IT. Poiché molti agenti sono firmati e ampiamente considerati affidabili, i difensori non dovrebbero basarsi solo sulla reputazione del file. Tra i controlli utili ci sono gli allowlist di software approvati, gli avvisi per gli installer non autorizzati, la registrazione delle nuove connessioni in uscita e la revisione degli account che possono autorizzare sessioni remote. Indizi comportamentali come un nuovo agente dopo un attacco di phishing, un processo padre inatteso o una connessione iniziale a un server sconosciuto rivelano spesso un abuso.