Il malware di sorveglianza è codice malevolo progettato per osservare in modo discreto un dispositivo invece di distruggerlo. Può registrare i tasti premuti, acquisire schermate, rubare messaggi, raccogliere credenziali, elencare file o ritrasmettere i dettagli del sistema a un operatore. Poiché è progettato per restare nascosto, spesso privilegia persistenza, furtività e furto selettivo di dati rispetto a un'interruzione evidente.
Nella sicurezza informatica, questo è importante perché il malware di sorveglianza può esporre comunicazioni sensibili e consentire intrusioni successive senza attivare gli allarmi che di solito vengono generati dal ransomware o dal malware distruttivo. Gli aggressori spesso lo affiancano a canali di comando e controllo che si confondono con il traffico normale, come servizi di messaggistica, cloud o web legittimi. I difensori cercano attività anomale dei processi, connessioni in uscita inaspettate, autorizzazioni sospette e telemetria dell'endpoint che non corrisponde al comportamento dell'utente. Il monitoraggio del comportamento dell'host è essenziale, poiché il percorso di rete può sembrare ordinario anche quando l'endpoint è compromesso.