Una chiave Run del Registro è una posizione di avvio automatico di Windows che indica al sistema di avviare un programma quando un utente esegue l'accesso. Gli aggressori la apprezzano perché offre persistenza: una volta che un eseguibile o uno script malevolo viene aggiunto a una chiave Run, può riavviarsi dopo i reboot e gli accessi degli utenti senza bisogno di un altro passaggio di infezione.
Negli attacchi reali, le chiavi Run spesso puntano a un loader nascosto, a un comando PowerShell o a un payload abbandonato che mantiene attivo l'intruso. I difensori monitorano attentamente queste voci perché sono bersagli comuni di abuso e facili da controllare con strumenti endpoint o con l'audit del registro. Modifiche inattese, soprattutto nei percorsi Run sotto HKCU o HKLM, possono rivelare persistenza da malware, loader o strumenti di accesso remoto. In genere è necessario rimuovere il valore e il file sottostante per eliminare completamente la minaccia.