Un builder framework è un sistema di configurazione che genera campioni di malware personalizzati a partire dallo stesso codice di base. Invece di distribuire un unico eseguibile fisso, l'operatore può scegliere opzioni come la piattaforma di destinazione, le funzionalità abilitate, le impostazioni di esfiltrazione, il comportamento di persistenza o gli endpoint di comando e controllo, quindi compilare una nuova variante su richiesta.
Questo è importante perché rende il crimeware più facile da distribuire, adattare ed eludere il rilevamento. Un builder può produrre molti campioni quasi identici che differiscono a sufficienza da aggirare hash semplici e difese basate su firme. Negli attacchi reali, i builder vengono spesso usati per infostealer, loader di ransomware e strumenti botnet, dove il payload può essere riconfezionato per vittime o campagne diverse. I difensori cercano artefatti del builder come famiglie di codice ripetute, destinazioni di rete configurabili e opzioni di packaging o di compilazione insolite, quindi combinano questi elementi con il rilevamento basato sul comportamento e la telemetria degli endpoint.