Task Scheduler è il sottosistema di Windows che crea, gestisce ed esegue attività pianificate su sistemi locali o remoti. Gli amministratori lo usano per la manutenzione ordinaria, gli aggiornamenti software, i backup e l'esecuzione di script in base all'ora, all'accesso, all'avvio o ad altri trigger.
Nella sicurezza informatica, Task Scheduler è importante perché gli aggressori spesso lo abusano per la persistenza. Un'attività malevola può rilanciare il malware dopo un riavvio, eseguire script nascosti o funzionare sotto un account attendibile mimetizzandosi tra le normali automazioni. I difensori cercano nomi di attività sospetti, comandi insoliti, script codificati, orari di attivazione anomali e attività che puntano a percorsi scrivibili dall'utente o a binari depositati di recente. Nelle indagini reali, un'attività può essere camuffata da un aggiornamento legittimo o da uno strumento di amministrazione, rendendo essenziali l'inventario e l'analisi comportamentale. Monitorare la creazione, le modifiche e l'esecuzione delle attività aiuta a individuare malware che cerca di sembrare una normale manutenzione di Windows.