Solo in memoria è un modello di tradecraft in cui malware o attività di un attaccante vengono eseguiti nella RAM invece di lasciare file evidenti su disco. Gli attaccanti lo usano per ridurre gli artefatti tradizionali, come eseguibili rilasciati, script o web shell memorizzati nel filesystem. Il codice può essere iniettato in un processo esistente, caricato da una risposta di rete o eseguito in un contenitore temporaneo in memoria.
Questo è importante perché molti controlli difensivi si concentrano sulla scansione dei file e sull'analisi forense del disco. Un punto d'appoggio solo in memoria può essere più difficile da rilevare e può scomparire al riavvio, pur consentendo l'esecuzione di comandi, il furto di credenziali o il movimento laterale. In genere i difensori devono esaminare il comportamento dei processi, le istantanee della memoria, le connessioni di rete, i log e le modifiche di configurazione. Nelle compromissioni di dispositivi edge, una web shell o un payload solo in memoria può trasformare un apparato attendibile in un punto di accesso furtivo senza lasciare le consuete tracce su disco.