La persistenza all'avvio automatico di Windows è qualsiasi tecnica che il malware usa per avviarsi automaticamente quando un utente esegue l'accesso o quando il sistema si avvia. I metodi comuni includono le chiavi di registro Run e RunOnce, la cartella Esecuzione automatica, attività pianificate, servizi e altri hook di accesso. L'obiettivo è semplice: sopravvivere ai riavvii, così l'attaccante non deve reinfettare il dispositivo ogni volta.
Questo è importante perché la persistenza trasforma una compromissione una tantum in una presenza continua. In campagne di spionaggio o furto, un impianto nascosto può continuare a raccogliere email, dati del browser o contenuti delle chat molto tempo dopo l'esecuzione iniziale. I difensori cercano nuovi autorun, binari sospetti in percorsi scrivibili dall'utente, attività pianificate insolite e modifiche che indicano software non autorizzato avviato all'accesso. Strumenti come EDR, Sysmon e la revisione degli autorun possono aiutare a individuare questi impianti prima che continuino a riapparire.