Le attività pianificate sono una funzionalità di automazione di Windows usata per eseguire programmi, script o comandi a orari prestabiliti o in risposta a eventi come l'accesso o l'avvio del sistema. Negli ambienti legittimi, aiutano con manutenzione, aggiornamenti e attività di pulizia. Negli attacchi, la stessa funzionalità diventa un meccanismo di persistenza: il malware può creare un'attività che si riavvia dopo il riavvio, riavvia un payload non riuscito o viene eseguito nel contesto di un account attendibile.
Questo è importante perché le attività pianificate fanno parte del normale funzionamento del sistema operativo, quindi le voci dannose possono confondersi con le reali attività di amministrazione. Gli operatori della difesa dovrebbero esaminare attività nuove o inaspettate, nomi insoliti, orari di attivazione anomali, righe di comando sospette ed eseguibili archiviati in percorsi scrivibili dagli utenti. Correlare la creazione delle attività con l'attività dei processi dell'endpoint e comportamenti di rete insoliti, incluso il traffico DNS, spesso aiuta a rivelare quando un host è stato configurato per mantenere in vita il malware.