Una catena di infezione multistadio è un attacco che distribuisce componenti malevoli in sequenza invece di rilasciare un unico payload evidente. Una fase può essere un'e-mail di phishing, la successiva uno script, un archivio o una pagina web, e la fase finale può recuperare o decomprimere il vero malware.
Questo è importante perché ogni passaggio può sembrare innocuo da solo, il che aiuta gli attaccanti a eludere il rilevamento statico e rallenta l'analisi. I difensori spesso devono ricostruire l'intero percorso dell'attività di e-mail, documenti e script per vedere il vero obiettivo. Nelle campagne reali, la distribuzione in fasi viene usata per nascondere i loader, ritardare l'esposizione del payload e rendere più difficile correlare gli avvisi di rete o degli endpoint. Il rilevamento si concentra di solito su catene insolite di processi padre-figlio, download sospetti, esecuzione di macro o script e passaggi ripetuti tra file e processi.