Un caricatore binario è un componente eseguibile che avvia un'infezione e poi recupera, decripta o avvia codice dannoso nelle fasi successive. Invece di includere subito il payload completo, il caricatore agisce come il primo passo in una catena di attacco a fasi. Questa separazione aiuta gli aggressori a mantenere il codice più sensibile nascosto fino dopo l'esecuzione iniziale.
I caricatori binari sono importanti perché rendono il malware più difficile da rilevare e analizzare. I difensori possono vedere solo un piccolo programma iniziale, mentre il payload reale arriva in seguito da disco, memoria o da un server remoto. Negli attacchi reali, i caricatori vengono usati per ridurre gli indicatori statici, ritardare l'analisi e sostituire l'infrastruttura senza modificare il file della prima fase. I team di sicurezza cercano un'ascendenza sospetta dei processi, richieste di rete insolite, l'avvio di script o archivi e comportamenti di persistenza che seguono un avvio a fasi. Osservare il comportamento del caricatore è spesso più utile che affidarsi solo agli hash dei file o alle firme.