Il triage del malware è la rapida revisione preliminare di file, codice o artefatti sospetti per stabilire quanto possano essere pericolosi e cosa fare dopo. Gli analisti e gli strumenti di sicurezza cercano indicatori come hash dei file, segni di packer, importazioni, stringhe, destinazioni di rete e comportamento di base in sandbox. L'obiettivo non è la reverse engineering completa, ma una rapida prioritizzazione: è probabilmente benigno, sospetto o una minaccia attiva?
È importante perché la risposta agli incidenti dipende dalla velocità. Un buon triage aiuta a separare i campioni urgenti dal rumore, a concentrare l'analisi approfondita sugli artefatti giusti e ad attivare il contenimento prima della diffusione. Negli attacchi reali, gli autori di malware cercano di rallentare o fuorviare il triage con offuscamento, packing, codice spazzatura o testo progettato per confondere l'analisi automatizzata. I difensori riducono questo rischio trattando i contenuti non affidabili come ostili, isolando le fasi di analisi, usando il rilevamento multilivello e mantenendo la revisione umana per le decisioni ad alto impatto.