Un shellcode loader è un malware che prepara e avvia shellcode, ossia un piccolo payload in codice macchina che viene eseguito direttamente in memoria. Il suo compito è spesso quello di fungere da ponte di esecuzione: configura l'ambiente, decripta o decomprime la fase successiva, alloca memoria, modifica i permessi e trasferisce il controllo al payload.
Questo è importante perché i loader aiutano gli attaccanti a separare la consegna dall'esecuzione. Il file iniziale può sembrare innocuo, firmato o incompleto, mentre la vera logica dannosa appare solo dopo l'esecuzione del loader. Negli attacchi moderni, i shellcode loader spesso usano API indirette, percorsi di callback, injection di processi o binari host dall'aspetto legittimo per ridurre la visibilità negli strumenti EDR e aggirare il rilevamento semplice basato sugli hash. I difensori cercano catene di processi insolite, allocazione di memoria seguita da pagine eseguibili, caricamenti sospetti di moduli e attività di rete che non si adattano al normale comportamento dell'applicazione padre. In pratica, un shellcode loader è spesso il primo segnale chiaro che una campagna sta passando dall'accesso alla distribuzione attiva del payload.