Il malware polimorfico cambia il proprio aspetto a ogni copia o esecuzione, restando funzionalmente identico – proprio per eludere il rilevamento basato su firme: se ogni campione ha un hash diverso, la firma "questo hash è malware" non aggancia nulla. Le tecniche:
- polimorfismo – cifra il payload con una chiave diversa ogni volta, più un piccolo decryptor che varia
- metamorfismo – riscrive il proprio codice a ogni generazione (istruzioni equivalenti, ordine diverso): nessuna parte resta costante
- packing/crypting – comprime e cifra l'eseguibile, che si decomprime in memoria all'avvio (spesso con reflective loading per non toccare il disco)
- payload steganografici – nascondere il codice malevolo dentro immagini o file apparentemente innocui
È la ragione per cui la difesa è migrata dalle firme al comportamento: per quanto cambi aspetto, il malware deve comunque fare le sue azioni (iniettarsi, chiamare il C2, cifrare file), e quelle si rilevano. Le contromisure: EDR comportamentale, analisi in sandbox (si detona il campione in un ambiente isolato e si osserva cosa fa – il polimorfismo non nasconde il comportamento), detection sulle azioni, ed euristiche sull'entropia (un file molto "casuale" è probabilmente cifrato/packed). È la corsa agli armamenti classica: ogni evasione genera una nuova tecnica di rilevamento.