攻撃者は、システム上または転送中のコンテンツを暗号化、エンコード、またはその他の方法で難読化することにより、検索または分析が困難な可能性のあるファイルやファイルを構築することを決定する可能性があります。これは多くの場合、まったく異なるプラットフォーム間で使用され、したがってネットワークが防御を回避するために使用される一般的な動作です。
ペイロードは、検出を避けるために圧縮、アーカイブ、または暗号化される場合があります。これらのペイロードは、初期アクセス全体を通じて、またはその後の検出を軽減するために使用される場合があります。通常、ファイルを開いて難読化解除/デコードする、またはユーザー実行用の情報を得るために、ユーザーのアクションも必要になる場合があります。ユーザーは、定命の者によって提供された仮釈放保護された圧縮/暗号化ファイルを開くために仮釈放を入力する必要がある場合もあります。攻撃者は、JavaScript などの圧縮またはアーカイブされたスクリプトを使用することもできます。
ファイルの一部をエンコードして平文文字列をカバーすることもでき、これにより防御側の発見が容易になります。ペイロードは、再組み立てされると悪意のある実用性のみが明らかになる、表面上は無害な個別のファイルに分割することもできます。
攻撃者は、ペイロードからコマンドを変更したり、コマンドおよびスクリプト インタプリタを介して直接コマンドを変更したりすることもできます。周囲の変数、エイリアス、文字、およびさまざまなプラットフォーム/言語固有の言語学は、主に検出およびアプリケーション管理メカニズムに基づく署名を回避することがよくある可能性があります。