Un loader multipiattaforma è un componente malevolo o a duplice uso costruito per funzionare su più di un sistema operativo, come Windows e macOS, mentre recupera, decifra o avvia un payload di seconda fase. Invece di riscrivere l'intera catena di distribuzione per ogni piattaforma, un attaccante può riutilizzare la stessa logica del loader e sostituire solo il payload finale o il packaging.
Questo è importante perché riduce l'impegno dell'attaccante e rende le campagne più facili da scalare su flotte di endpoint miste. Un loader che funziona in un runtime condiviso, come .NET o un altro ambiente portabile, può sembrare insolito su una piattaforma e normale su un'altra, il che può ritardare il rilevamento. I difensori possono vederlo come un processo figlio inatteso, un downloader avviato da un installer o un'attività di runtime che non corrisponde al software dichiarato.
Negli attacchi reali, i loader multipiattaforma spesso si nascondono dietro installer attendibili, richieste di aggiornamento o branding che gli utenti si aspettano di vedere. I team di sicurezza dovrebbero ispezionare il comportamento, non solo i nomi dei file, e imporre percorsi software approvati, controlli di firma del codice e controlli di esecuzione su ogni sistema operativo supportato.