La segnalazione del traffico è una tecnica malware in cui una funzione nascosta rimane inattiva finché non rileva un pacchetto specifico, un pattern di pacchetti o un'altra sequenza di rete. Il trigger agisce come un colpo segreto: solo il traffico giusto attiva il payload.
Questo è importante perché aiuta gli aggressori a nascondersi da scansioni semplici e sandbox. Se un campione viene attivato senza il trigger, può sembrare innocuo o incompleto. Negli attacchi reali, la segnalazione del traffico può sbloccare l'esecuzione di comandi, la decrittazione o una seconda fase, mimetizzandosi nel traffico di rete ordinario. I difensori cercano probe in ingresso insolite, sequenze ripetute di pacchetti brevi e cambiamenti di stato inattesi dopo eventi di rete. Gli analisti possono anche riprodurre il trigger in un laboratorio per esporre il comportamento dormiente e confermare se un campione è davvero dannoso.