Il software residente in memoria viene eseguito nella RAM volatile di un dispositivo, invece di basarsi su un normale file eseguibile archiviato su disco. Può essere eseguito come parte di un processo esistente, rendendo più difficile distinguerlo dalle attività legittime. Poiché in genere la RAM viene cancellata quando un dispositivo si spegne o si riavvia, le prove della presenza del software possono scomparire.
Nella sicurezza informatica, il malware residente in memoria può eludere le difese che si concentrano sulla scansione dei file o sulla ricerca di nuove porte di rete aperte. Per esempio, un impianto su un firewall può alterare un servizio attendibile lasciando poche tracce evidenti su disco. I difensori dovrebbero monitorare il comportamento dei processi e le attività amministrative, confrontare lo stato del dispositivo con configurazioni di riferimento note come sicure e conservare i log pertinenti e le prove volatili prima di riavviare il dispositivo o apportare modifiche.