Il mascheramento dell'installer è una tattica di social engineering in cui il malware viene confezionato per sembrare un installatore, un aggiornamento o una procedura guidata di configurazione legittimi. L'obiettivo è fare in modo che l'utente si fidi abbastanza del file da aprirlo, inserire una password o approvare i prompt di sicurezza. Poiché il travestimento corrisponde a un flusso di lavoro normale, il codice malevolo può raggiungere il dispositivo prima che l'antivirus tradizionale o le difese di rete rilevino molta attività.
Questa tattica è importante perché gli installer spesso dispongono di privilegi elevati e ci si aspetta che scrivano file, avviino componenti ausiliari o richiedano autorizzazioni. Gli aggressori sfruttano questa soglia di fiducia imitando marchi noti, pacchetti di app firmati o normali richieste di aggiornamento. I difensori cercano firme del codice deboli o mancanti, posizioni di download insolite, nomi di file non corrispondenti, comportamenti sospetti al primo avvio e connessioni di rete inattese dopo l'installazione. Anche la formazione degli utenti aiuta: verificare la fonte, controllare il publisher e trattare come non attendibile qualsiasi installer al di fuori di un canale ufficiale.