DEX è il formato bytecode di Android usato dalle app sul runtime Dalvik/ART. Un file DEX contiene istruzioni compilate che Android può eseguire e una singola app può includere uno o molti file DEX. Poiché il codice è leggibile dalla piattaforma, è una parte normale del packaging delle app, ma è anche un utile nascondiglio per logica malevola.
Negli attacchi, il malware può caricare codice DEX a runtime invece di esporre tutto il proprio comportamento nell'APK iniziale. Questo può rendere più difficile l'analisi statica, ritardare il rilevamento e consentire agli operatori di sostituire o attivare funzionalità dopo l'installazione. I difensori cercano caricamento sospetto di classi, unpacking, reflection e caricamento DEX in memoria, quindi combinano questi segnali con telemetria runtime, revisione dei permessi e monitoraggio della rete. Nella sicurezza mobile, DEX è importante perché si colloca al confine tra l'esecuzione legittima dell'app e il codice che appare solo quando il malware decide di eseguirlo.