Un caricatore riflettivo è codice malware che carica un payload direttamente in memoria invece di consegnarlo a un normale percorso di installazione o di caricamento del sistema operativo. In pratica, il caricatore può decifrare, mappare e avviare lo stadio successivo da un buffer che controlla, spesso senza scrivere un file visibile su disco.
Questo è importante perché l'esecuzione fileless o residente in memoria può ridurre gli indizi su cui si basano i difensori, come nuovi eseguibili su disco, eventi di installazione standard o evidenti schemi padre-figlio tra processi. I caricatori riflettivi sono comuni nelle intrusioni multistadio: un componente rilascia o recupera il caricatore, e il caricatore avvia quindi il payload reale in memoria. Gli analisti spesso lo rilevano osservando allocazioni di memoria sospette, iniezione di thread, caricamento insolito di moduli e processi che stabiliscono connessioni in uscita subito dopo l'avvio. Le difese che combinano telemetria EDR, monitoraggio di script e processi e analisi della memoria sono meglio posizionate per intercettare questa tecnica.