Il controllo remoto del desktop è un accesso interattivo che consente a un operatore di usare una macchina vittima come se fosse seduto davanti ad essa. Invece di inviare solo comandi, l'attaccante può spostare il mouse, digitare, aprire file, avviare programmi e ispezionare il desktop in tempo reale. Si tratta di una potente capacità post-compromissione perché offre un controllo diretto da tastiera e mouse, rendendo più difficile distinguere l'attività di intrusione da una sessione legittima dell'utente.
Nelle attacchi reali, il controllo remoto del desktop viene spesso usato dopo l'accesso iniziale per rubare dati, distribuire payload, modificare impostazioni o muoversi lateralmente all'interno di una rete. Può essere fornito tramite strumenti integrati come RDP oppure tramite funzioni di malware che emulano una sessione di desktop remoto. I difensori dovrebbero monitorare strumenti di accesso remoto non autorizzati, accessi insoliti, nuove sessioni al di fuori degli orari normali e traffico di controllo remoto proveniente da sistemi che non ne hanno bisogno. Una forte autenticazione, il principio del privilegio minimo e il logging delle sessioni aiutano a limitarne l'impatto.