L'infrastructure hunting è la pratica di individuare domini, server e pannelli di controllo malevoli correlati pivotando su impronte tecniche come certificati TLS, layout dei pannelli web, hostname, hash delle favicon o pattern di risposta ripetuti. Invece di partire da un singolo dispositivo infetto, gli analisti partono dagli indizi lasciati dall'infrastruttura online dell'attaccante ed espandono l'analisi verso l'esterno per costruire un cluster più ampio.
Questo è importante perché il codice malware può essere copiato, rinominato o parzialmente nascosto, ma l'infrastruttura spesso riutilizza la stessa configurazione su molti host. I difensori usano l'infrastructure hunting per identificare nuovi server di comando e controllo, collegare siti di phishing correlati e bloccare rapidamente nuovi falsi simili prima che vengano usati su larga scala. Nelle indagini reali, la corrispondenza di certificati o del comportamento dei pannelli può mostrare che decine di server appartengono allo stesso ecosistema, anche quando il payload stesso è incompleto o non disponibile. È un modo potente per mappare le operazioni dell'attaccante, ma deve essere considerato una prova di clustering, non una prova assoluta di un unico operatore.