Uno scanner è un host compromesso che gli aggressori riutilizzano per sondare altri sistemi alla ricerca di servizi aperti, configurazioni deboli o vulnerabilità note. Anziché attaccare direttamente dalla propria infrastruttura, usano la macchina della vittima per generare traffico di rete che appare come normale attività in uscita da un server legittimo.
Gli scanner sono importanti perché aiutano gli aggressori a espandere una campagna nascondendone l'origine. Un server dirottato può eseguire la scansione di intervalli IP, testare porte e identificare applicazioni esposte per la fase successiva dell'abuso. I difensori spesso individuano le attività di scansione tramite raffiche di connessioni fallite, richieste ripetute a molti host o modelli insoliti di traffico in uscita. Il filtering in uscita, il monitoraggio della rete e gli avvisi sul comportamento da port scan possono aiutare a rilevare e bloccare un server che viene usato in questo modo.