Un framework basato su script è un'architettura malware costruita a partire da script o da altri moduli di codice flessibili che possono essere riutilizzati, sostituiti o aggiornati in operazioni diverse. Invece di un singolo binario monolitico, l'operatore può usare piccoli componenti per attività come il download dei payload, l'esecuzione di comandi, la raccolta di dati o la gestione del comando e controllo.
Questo approccio è importante perché rende il malware più facile da adattare e più difficile da identificare tramite fingerprinting. Gli attaccanti possono modificare uno script, aggiungere un nuovo modulo o riconfigurare il comportamento senza ricostruire l'intero set di strumenti. Nelle intrusioni reali, i framework basati su script compaiono spesso in sistemi di controllo basati sul web, loader e strumenti di post-exploitation, dove il traffico HTTP o HTTPS viene usato per scambiare comandi. Per i difensori, questi framework vengono spesso rilevati tramite il comportamento: attività di scripting insolita, beacon outbound ripetuti, processi non browser che effettuano richieste web o schemi di esecuzione modulari che non corrispondono al normale software.