La decrittazione controllata dal server è una tecnica di unpacking in cui il malware non può rivelare il suo vero payload finché non comunica con un server controllato dall'attaccante. Il campione può arrivare in una forma fortemente offuscata, ma la chiave di decrittazione finale, il frammento di codice o la configurazione vengono forniti solo dopo uno scambio di rete in tempo reale.
Questo è importante perché ostacola l'analisi statica. Gli difensori che esaminano il file offline potrebbero vedere solo un wrapper o dati apparentemente innocui, mentre il codice malevolo rimane nascosto fino al momento dell'esecuzione. Può anche rallentare la creazione di firme, il sandboxing e il blocco basato su hash se il payload cambia o compare solo dopo la convalida del server.
Negli attacchi reali, questo metodo viene usato per limitare l'accesso alla logica di stealer, loader o ransomware, talvolta in base a controlli del dispositivo o token di sessione. I difensori cercano richieste in uscita sospette, comportamenti di unpacking insoliti e fallimenti nella decrittazione quando il server non è disponibile, elementi che possono rivelare la dipendenza del malware da infrastrutture live.