L'assemblaggio a runtime è la pratica di costruire logica malevola mentre il codice viene eseguito, invece di consegnare all'inizio un file payload completo e ovvio. Gli aggressori possono suddividere il codice in frammenti, recuperare parti su richiesta, decodificare o decrittare il contenuto in memoria e assemblare il comportamento finale solo quando il browser o l'host della vittima lo stanno già eseguendo.
Questo è importante perché indebolisce il rilevamento basato sui file. Hash, firme e semplici filtri di download potrebbero non vedere mai un campione di malware completo. Nell'abuso del browser, l'assemblaggio a runtime può avvenire all'interno di worker, script o componenti guidati da messaggi che uniscono richieste, reindirizzamenti e percorsi di esecuzione. I difensori cercano fetch di rete insoliti, registrazione sospetta di worker, creazione dinamica di script e comportamenti in memoria inattesi. L'obiettivo principale è intercettare il processo di assemblaggio stesso, non solo il payload finale.