Il malware di accesso remoto è un software malevolo che consente a un attaccante di avere il controllo interattivo di un sistema infetto. A differenza del semplice codice per il furto di dati, è progettato per permettere a un operatore di impartire comandi, esplorare file, avviare processi e mantenere un punto d'appoggio sul dispositivo come se lo stesse usando localmente.
Questo è importante perché il controllo interattivo trasforma una singola compromissione in una piattaforma per abusi successivi. Un attaccante può distribuire ulteriori payload, muoversi all'interno di una rete o combinare l'accesso remoto con il furto di credenziali per raggiungere email, account cloud e strumenti interni. Negli attacchi alla supply chain, il malware di accesso remoto può arrivare tramite una dipendenza, un installer o uno script eseguito durante la configurazione, prima che l'utente noti qualcosa di insolito.
I difensori dovrebbero considerare come segnali d'allarme le connessioni in uscita inattese, i nuovi meccanismi di persistenza e i comportamenti sospetti durante l'installazione. Sulle workstation degli sviluppatori, limitare gli script dei pacchetti, monitorare l'attività degli endpoint e controllare gli accessi ai segreti memorizzati dal browser può aiutare a individuare questo malware in fase iniziale.