Crypter-as-a-service è un servizio clandestino che prende un payload malevolo e lo avvolge, lo cripta o comunque lo modifica in modo che gli strumenti di sicurezza facciano più fatica a riconoscerlo. L'obiettivo non è cambiare ciò che fa il malware, ma cambiare il modo in cui appare su disco e durante l'esecuzione iniziale. Alterando le firme, impacchettando il file o aggiungendo un comportamento polimorfico, il servizio può rendere più lenta l'analisi statica e ridurre la probabilità di un rilevamento immediato.
Questo è importante perché i crypter si collocano davanti al payload, prima che i difensori possano ispezionare la fase finale. Vengono comunemente usati con RAT di uso comune, loader e altre famiglie di malware molto riutilizzate per aiutarli a raggiungere un sistema bersaglio. Negli attacchi reali, i crypter possono essere abbinati a catene di distribuzione che usano anche abuso di script, esecuzione in memoria o elusione basata su driver. I difensori cercano l'intera catena: allegati e-mail insoliti, creazione sospetta di processi, manomissione degli strumenti endpoint e binari che si scompattano o cambiano comportamento a runtime.