La ricognizione del sistema è la raccolta iniziale di informazioni su un host o una rete vittima prima dell'esecuzione del payload principale. Gli aggressori la usano per conoscere elementi di base come il sistema operativo, l'appartenenza a un dominio, i privilegi dell'utente, la lingua o l'area geografica, gli strumenti di sicurezza installati e le impostazioni di rete. Queste informazioni li aiutano a decidere quale modulo di malware consegnare, quali comandi funzioneranno e come evitare il rilevamento.
Nel phishing e negli attacchi basati su script, la ricognizione spesso avviene subito dopo l'avvio dell'esecuzione di un file malevolo o di un binario fidato. Un contenitore come un HTA avviato tramite mshta.exe può interrogare i dettagli del sistema e poi scaricare un payload di seconda fase adattato all'ambiente. I difensori osservano comandi insoliti di enumerazione dell'host, chiamate scriptate alle API di sistema e attività sospette di mshta.exe. Bloccare i binari in grado di eseguire script, limitare i comandi di scoperta locale e generare avvisi sul profiling iniziale dell'host può interrompere l'attacco prima che inizi il furto delle credenziali o il movimento laterale.