L'abuso dei pacchetti di installazione consiste nell'uso improprio di un processo di installazione software in modo che codice controllato dall'attaccante venga eseguito mentre un programma viene installato. I programmi di installazione sono considerati affidabili dagli utenti e spesso vengono eseguiti con privilegi elevati, il che li rende un canale di distribuzione prezioso per il malware. Gli attaccanti possono nascondere script, logica di dropper o componenti malevoli all'interno di un file di installazione, oppure attivare codice tramite azioni personalizzate, comandi post-installazione o dipendenze incluse.
Questo è importante perché la fase di installazione è spesso il punto in cui i controlli di sicurezza sono più deboli: gli utenti si aspettano cambiamenti e gli endpoint possono concedere ampio accesso ai programmi di installazione. In attacchi reali, l'abuso del programma di installazione può fornire accesso iniziale, persistenza o distribuzione del payload, apparendo al tempo stesso come una normale installazione software. Le difese includono il download del software solo da fonti approvate, la verifica di firme e hash, la limitazione di chi può installare software e il monitoraggio di processi figlio insoliti, connessioni di rete o file drop avviati durante l'installazione.