I comandi remoti sono istruzioni inviate da un server di controllo o da un operatore a un malware già in esecuzione su un dispositivo infetto. Consentono all'attaccante di modificare il comportamento del malware dopo l'infezione, ad esempio rubare dati, scaricare altri moduli, esfiltrare file o rimanere in attesa silenziosamente fino a un momento più opportuno.
Sono importanti perché il malware è spesso progettato per essere flessibile. Un piccolo payload iniziale può diventare molto più pericoloso quando può ricevere nuovi comandi, il che aiuta gli attaccanti ad adattarsi alle difese, evitare il rilevamento e riutilizzare lo stesso dispositivo infetto per obiettivi diversi. Negli attacchi reali, i difensori possono osservare traffico di comando e controllo, messaggi di tasking crittografati o azioni insolite del dispositivo che corrispondono alle istruzioni ricevute. Bloccare il canale di controllo, monitorare le connessioni in uscita e cercare l'uso imprevisto dei privilegi o attività di shell sono modi comuni per rilevare o ostacolare l'abuso dei comandi remoti.