La sovrascrittura della memoria è la sostituzione di dati già caricati nella memoria di un processo in esecuzione. Invece di chiudere o mandare in crash il programma, un aggressore scrive nuovi valori in variabili, buffer, aree di codice o dati di configurazione, così che il processo continui a funzionare ma si comporti in modo diverso.
Questo è importante perché molti strumenti di sicurezza dipendono da uno stato in memoria affidabile. Se un agente endpoint, un sensore o un servizio viene sovrascritto, può sembrare ancora attivo mentre le sue rilevazioni, la telemetria o la logica di applicazione delle policy vengono indebolite o reindirizzate. Questo rende l'attacco più difficile da individuare rispetto alla semplice terminazione del processo e può guadagnare tempo affinché ransomware o altri malware continuino a operare.
Negli attacchi reali, la sovrascrittura della memoria può essere usata per manomettere il software di sicurezza, disattivare gli avvisi o corrompere i log prima che i difensori se ne accorgano. Dal punto di vista difensivo, i team cercano modifiche inattese della memoria, errori di integrità e discrepanze tra la presenza di un processo e il suo comportamento. È un promemoria del fatto che