Una catena multistadio è un'intrusione che si sviluppa in fasi, in cui ogni azione prepara la successiva. Invece di rilasciare un unico payload evidente, l'attaccante inizia con un'esca, poi usa la risposta della vittima per avviare script, recuperare strumenti aggiuntivi, scoprire sistemi interni o stabilire un canale remoto. Ogni fase riduce l'attrito per la successiva e può aiutare l'attaccante a evitare rilevamenti semplici che cercano solo un singolo file o comando malevolo.
Questo è importante perché gli attacchi moderni spesso combinano social engineering, utilità legittime e attività successive all'accesso. Un utente può essere spinto a eseguire PowerShell, che poi scarica altro codice, esegue ricognizione o apre un tunnel per il comando e controllo. I difensori dovrebbero ragionare in sequenze: passaggi insoliti dal browser al terminale, processi figli concatenati, connessioni di rete sospette e scoperta interna da una workstation sono tutti segnali che un'intrusione sta progredendo fase per fase.