Con una conexión de shell inversa, un atacante puede devolver una llamada a un servidor malicioso desde un sistema comprometido. Esto suele hacerse una vez que el atacante ha conseguido acceder a un sistema y necesita establecer una shell interactiva improvisada. Las opciones del atacante para iniciar una shell inversa se ven limitadas por los lenguajes de scripting instalados en el sistema de destino. Por tanto, nuestras detecciones se centran en los lenguajes de scripting instalados habitualmente en macOS o instalados por omisión.