Il malware di accesso remoto è un software dannoso creato per dare a un attaccante il controllo interattivo di un computer o server infetto. A differenza di un semplice dropper o di un payload usa e getta, di solito mantiene un canale attivo con un sistema di comando e controllo così che l'operatore possa inviare comandi, sfogliare file, avviare processi, spostare dati o creare ulteriori percorsi di accesso.
È importante perché il controllo diretto trasforma una compromissione in un'intrusione flessibile. Gli attaccanti possono usarlo per la persistenza, il riconoscimento, il movimento laterale e la preparazione di altri strumenti, cercando al contempo di confondersi con il normale traffico di amministrazione. I difensori cercano segnali come connessioni in uscita insolite, comportamento da shell remota, creazione sospetta di servizi e attività ripetute da infrastrutture note. Il rilevamento di questa classe di malware dipende spesso sia dalla telemetria dell'host sia dall'intelligence di rete, perché lo stesso strumento può essere riconfezionato, rinominato o riutilizzato in campagne diverse.