Una catena di decrittazione assistita dal server è una tecnica di staging in cui il malware non può recuperare بالكامل il proprio payload finché non contatta un server remoto. La prima fase può contenere solo dati cifrati, un piccolo loader o una chiave parziale. Dopo lo scambio di rete, il server restituisce il materiale mancante necessario per decifrare, decomprimere o assemblare la fase successiva.
Questo è importante perché ostacola l'analisi offline e la semplice scansione dei file: senza la risposta del server, gli analisti possono vedere solo codice apparentemente innocuo o un payload incompleto. Negli attacchi reali, viene usato per nascondere infostealer, installer o dati di configurazione e per rendere i campioni più difficili da sottoporre a reverse engineering. I difensori possono cercare richieste in uscita insolite da software appena avviato, beaconing ripetuto e comportamenti di download ed esecuzione. Bloccare il server remoto, catturare il traffico o eseguire il campione in una sandbox strumentata può esporre la fase decrittata e rivelare il vero payload.