Senza malware descrive un attacco o un avviso in cui i difensori non trovano un file malevolo tradizionale, un payload o un impianto. Invece di rilasciare malware evidente, gli aggressori possono usare credenziali valide, strumenti di amministrazione integrati, script, servizi remoti o funzionalità cloud e di identità già presenti nell'ambiente. Questo tipo di intrusione è spesso definito in stile “living off the land”.
Questo è importante perché l'antivirus basato sulle firme e molte rilevazioni focalizzate sui file potrebbero non attivarsi mai. Negli incidenti senza malware, i team di sicurezza devono stabilire se accessi, attività dei processi, chiamate API o azioni SaaS siano normali o ostili. Una difesa efficace dipende dalla telemetria dell'identità, dall'analisi del comportamento, dalle baseline e dal contesto, come posizione, integrità del dispositivo, cambi di privilegi e movimenti laterali insoliti. È comune nelle compromissioni cloud, nel takeover degli account e negli attacchi hands-on-keyboard, in cui l'aggressore cerca di confondersi con l'attività legittima invece di installare malware.