L'occultamento del payload è la pratica di nascondere contenuto malevolo all'interno di un altro tipo di file o contenitore, in modo che sia meno evidente per scanner, analisti e utenti. Il file esterno può sembrare innocuo, come un'immagine, un audio, un video, un archivio o un documento, mentre il vero payload è cifrato, codificato, suddiviso tra campi o incorporato come dati.
Questo è importante perché molte difese si basano sul tipo di file, sulle firme o su un'ispezione rapida. L'occultamento può ritardare il rilevamento, aggirare il filtro di base e rendere più difficile l'analisi in sandbox. Negli attacchi reali, i criminali possono nascondere script, dropper o malware criptato di seconda fase all'interno di file multimediali o archivi compressi, quindi distribuirli tramite phishing, download web o link di condivisione attendibili. I difensori contrastano questa tecnica con il content disarm and reconstruction, l'ispezione approfondita dei file, le sandbox di detonazione, l'analisi comportamentale e regole che cercano strutture insolite, entropia o oggetti nidificati.