Un tunneler è malware o uno strumento dell'operatore che inoltra il traffico di rete attraverso un host compromesso, in modo che l'attaccante possa raggiungere servizi interni non esposti direttamente a Internet. Può incapsulare il traffico in protocolli comuni, ritrasmettere le connessioni o fare da proxy alle sessioni dal punto d'appoggio verso la rete bersaglio. In pratica, il sistema infetto diventa un ponte nascosto.
I tunneler sono importanti perché trasformano una compromissione sul perimetro in accesso interno, abilitando il movimento laterale, il comando e controllo e l'accesso a porte di gestione, database o strumenti di amministrazione remota. Negli attacchi reali, un tunneler spesso compare dopo lo sfruttamento iniziale, associato a una web shell o a una backdoor per mantenere aperto il canale. I difensori dovrebbero monitorare comportamenti di proxy insoliti, connessioni in uscita inattese e dispositivi di frontiera che improvvisamente comunicano con host interni che normalmente non raggiungono mai.