L'iniezione in memoria è una tecnica che inserisce codice malevolo direttamente in un processo attivo o in uno spazio di runtime invece di salvarlo come file visibile su disco. L'attaccante può prendere di mira un servizio, un browser, un motore di script o un altro componente in esecuzione, in modo che il codice iniettato venga eseguito all'interno di software considerato attendibile. Questo aiuta il payload a eludere semplici scansioni dei file, controlli hash e attività di ricerca basate sulle directory.
Negli attacchi reali, l'iniezione in memoria viene spesso usata per loader, esecuzione di shellcode, DLL injection, process hollowing e rootkit che modificano il comportamento di un servizio restando difficili da individuare. È importante perché sposta il rilevamento dai file al comportamento in fase di esecuzione. I difensori dovrebbero monitorare relazioni insolite tra processi, creazione di thread remoti, autorizzazioni di memoria anomale, moduli non firmati e modifiche di configurazione o del servizio che non corrispondono alla baseline. Quando un impianto vive solo in memoria, una risposta efficace richiede di solito analisi della memoria live e verifica dell'integrità, non solo analisi forense del disco.