La chiave Run è una posizione del Registro di Windows che indica al sistema di avviare automaticamente programmi specifici quando un utente esegue l'accesso o quando Windows si avvia. Le posizioni comuni includono percorsi del Registro per utente e a livello di macchina, il che rende la funzione utile per strumenti di avvio legittimi ma anche attraente per gli aggressori che cercano persistenza.
Negli attacchi informatici, il malware può aggiungere una nuova voce Run key in modo che il payload si avvii dopo il riavvio senza bisogno di un launcher o di un servizio separato. Si tratta di un modo poco rumoroso per mantenere attivo l'accesso, perché il programma viene eseguito in background e può sembrare una normale attività di avvio. I difensori monitorano modifiche inattese al Registro, nuove voci di avvio automatico e processi generati da percorsi sospetti. Il monitoraggio di queste voci è particolarmente importante nei casi di spionaggio, in cui l'obiettivo è spesso rimanere nascosti mantenendo al tempo stesso un accesso a lungo termine.