L'ispezione statica è l'analisi di un file, script o binario senza eseguirlo. I difensori la usano per cercare stringhe sospette, oggetti incorporati, packing, strutture malformate e firme note. È rapida e sicura, il che la rende un primo passaggio comune nei motori antivirus, nei gateway di posta elettronica e nei flussi di lavoro di threat hunting.
Il suo punto debole è che gli attaccanti possono nascondere la logica malevola fino al momento dell'esecuzione. In campagne che codificano lo shellcode come testo semplice o ricostruiscono i payload solo in memoria, l'ispezione statica può vedere contenuti apparentemente innocui invece del codice reale. Per questo funziona meglio se combinata con controlli comportamentali come il sandboxing, l'analisi della memoria e il monitoraggio di attività insolite di processi o script. In pratica, l'ispezione statica è utile per individuare rapidamente malware noti, ma diventa meno affidabile quando l'attaccante usa offuscamento, loader o decodifica a runtime per ritardare il rilevamento.