La capacità di accesso remoto è la possibilità per un malware o per un operatore di controllare a distanza un dispositivo infetto. Invece di limitarsi a rubare automaticamente i dati, l'attaccante può impartire comandi, visualizzare lo schermo, avviare app, leggere messaggi, acquisire credenziali o muoversi all'interno di un dispositivo come se fosse seduto davanti ad esso.
Questo è importante perché l'accesso remoto trasforma una singola compromissione in un punto d'appoggio interattivo. Nelle minacce per dispositivi mobili, può supportare frodi bancarie, spyware e abusi successivi come la modifica delle impostazioni o l'approvazione delle transazioni. I difensori cercano segnali come l'uso sospetto dell'accessibilità, l'abuso di overlay, servizi in background insoliti e traffico di comando e controllo. Alcuni malware cercano di ridurre la dipendenza dall'accesso diretto a Internet usando percorsi di relay locali o dispositivi compromessi nelle vicinanze, il che può rendere più difficile individuare l'operatore remoto con il solo monitoraggio di rete normale.