Un formato di file eseguibile personalizzato è un modo non standard di memorizzare e ორგანიზzare il codice all'interno di un binario. Invece di utilizzare un layout familiare che sistemi operativi, strumenti antivirus e reverse engineer si aspettano, l'autore del malware definisce una propria struttura per intestazioni, moduli, offset, compressione, crittografia o loader.
Questo è importante perché layout insoliti possono rallentare l'analisi e aggirare il semplice rilevamento basato su firme. I difensori potrebbero dover decomprimere il file, ricostruire strutture mancanti o decifrare componenti incorporati prima di poter comprendere il payload. Negli attacchi reali, i formati personalizzati compaiono spesso in malware modulari, in cui diverse funzioni sono suddivise in parti separate e caricate solo quando necessario. Ciò aiuta gli aggressori a nascondere le funzionalità, aggiornare parti del set di strumenti e rendere più difficile la bonifica. Per i difensori, la presenza di un formato binario non familiare è un forte segnale d'allarme e un motivo per esaminare il comportamento dei processi, le relazioni tra file e la logica di decompressione invece di fidarsi del nome del file o dell'estensione.