L'attivazione condizionale è un modello di progettazione del malware in cui il codice malevolo rimane inattivo finché non si verifica un trigger specifico. Il trigger può essere una visita a un sito web, un controllo dell'orario, una località, il nome di un processo, un'azione dell'utente o un altro segnale ambientale. Fino a quando non viene soddisfatta quella condizione, il campione può apparire innocuo o inattivo.
Questo è importante perché aiuta gli attaccanti a eludere sandbox, scansioni statiche e semplici rilevamenti basati su beacon. Se un analista apre un file in un laboratorio isolato che non riproduce il trigger reale, il payload potrebbe non rivelare mai il proprio comportamento. I difensori cercano correlazioni tra l'attività dell'utente e i successivi cambiamenti di rete o di processo, e utilizzano telemetria del browser, monitoraggio degli endpoint e analisi basata sul comportamento per cogliere il passaggio da inattivo ad attivo. L'attivazione condizionale è comune nei trojan bancari, nei loader e nei dropper stealth.