Un builder è uno strumento che assembla malware personalizzato a partire da un set di codice di base, spesso con opzioni per funzionalità, obiettivi, persistenza o impostazioni di consegna. Invece di distribuire un unico payload fisso, l'operatore può generare molte varianti dallo stesso framework, rendendo il malware più facile da riutilizzare, mascherare e distribuire su larga scala.
Nel cybercrime, i builder sono comuni negli infostealer, nei kit ransomware e in altre offerte Malware-as-a-Service. Sono importanti perché riducono le competenze necessarie per distribuire codice dannoso, accelerando al tempo stesso l'iterazione: una build può rubare le password del browser, un'altra può concentrarsi su cookie, token o dati di sistema. Per i difensori, il linguaggio legato ai “builder” è un segnale di strumenti d'attacco commoditizzati, quindi il rilevamento dovrebbe considerare sia la famiglia di malware sia le sue varianti in evoluzione. Bloccare l'esecuzione, monitorare attività sospette di packaging o configurazione e trattare i dati di sessione rubati come compromessi possono tutti contribuire a ridurre l'impatto.