Злоумышленники могут собирать информацию о программном обеспечении атакуемых узлов, чтобы использовать ее для атак. Информация об установленном программном обеспечении может включать данные о типах и версиях оборудования на конкретных хостах, а также о наличии дополнительных защитных компонентов, таких как антивирус или SIEM-системы.

Злоумышленники могут собирать эту информацию различными способами, в том числе напрямую путем активного сканирования (такие данные, как порты для входящих соединений, баннеры серверов, строки User-Agent) или фишинга с целью сбора сведений. Также злоумышленники могут скомпрометировать сайты и добавить вредоносное содержимое, чтобы собирать у посетителей информацию о хостах. Информация об установленном программном обеспечении также может быть найдена в интернете или других открытых источниках (например, в объявлениях о вакансиях, картах сети, отчетах об оценке, резюме или счетах-фактурах). Сбор этой информации может открыть дополнительные возможности для разведки (например, поиска на общедоступных сайтах или поиска технической информации в общедоступных источниках) и способствовать получению операционных ресурсов (в частности, разработке собственных средств или подготовке необходимых средств) и (или) обеспечению первоначального доступа (например, путем компрометации цепочки поставок или эксплуатации внешних служб удаленного доступа).