L'abuso delle attività pianificate è una tecnica in cui il malware usa Windows Task Scheduler o funzionalità simili di automazione dei processi per eseguire codice, rimanere persistente o elevare i privilegi. Poiché le attività pianificate sono normali strumenti amministrativi, le attività dannose possono confondersi con la normale manutenzione del sistema ed essere trascurate dagli utenti e da alcuni strumenti di sicurezza.
Nella pratica, gli aggressori possono creare un'attività che avvia un payload all'accesso, a intervalli temporali o quando viene soddisfatta una condizione di trigger. Se l'attività viene eseguita in un contesto con privilegi elevati come NT AUTHORITY\SYSTEM, il malware eredita un ampio accesso locale e può modificare file, cambiare impostazioni o avviare componenti aggiuntivi. I difensori cercano nomi di attività insoliti, righe di comando sospette, nuove attività create da processi poco comuni e attività che puntano a payload impacchettati o in memoria. Il monitoraggio della creazione e dell'esecuzione delle attività è un modo fondamentale per individuare questo abuso in fase iniziale.