Il mascheramento dei processi è una tecnica furtiva in cui il malware assegna a sé stesso o ai campi visibili del processo un nome simile a quello di un processo di sistema legittimo. L'obiettivo è confondersi con il normale rumore amministrativo, ritardare i sospetti e indurre gli analisti a trascurare un binario malevolo perché a prima vista “sembra corretto”.
Questo è importante perché gli difensori spesso iniziano il triage con gli elenchi dei processi, dove nomi familiari possono creare una falsa fiducia. Gli aggressori possono imitare worker del kernel, servizi di aggiornamento o strumenti di sicurezza, e poi associare all'esca argomenti della riga di comando nascosti, relazioni padre-figlio insolite o attività di rete sospette. Negli incidenti reali, questa tecnica aiuta backdoor e RAT a rimanere residenti abbastanza a lungo da supportare l'accesso post-compromissione, il traffico C2 e il movimento laterale. I difensori contrastano questa tecnica validando i nomi rispetto al percorso effettivo dell'eseguibile, controllando i metadati di /proc, rivedendo le righe di comando e correlando la telemetria dell'host con i log di rete. Un nome convincente non è una prova di legittimità.