Un modulo cifrato è un componente malware memorizzato in forma cifrata fino a quando un loader lo decifra in fase di esecuzione. Questo impacchettamento nasconde il payload da un'ispezione rapida, dalla scansione dei file e da alcuni strumenti di analisi statica. I team di sicurezza possono vedere solo un wrapper, uno stub o un decryptor, mentre il vero codice malevolo rimane illeggibile fino all'esecuzione.
Questo è importante perché i moduli cifrati aiutano gli attaccanti a ritardare il rilevamento e a complicare il triage. Sono spesso usati in infezioni a stadi, in cui un componente recupera o sblocca il successivo. I difensori cercano il comportamento circostante invece del solo file: catene di processi sospette, routine di decrittazione insolite, gestione di archivi, esecuzione solo in memoria e richieste in uscita che corrispondono a una distribuzione a stadi. La cifratura non rende il malware innocuo; aumenta soprattutto il lavoro necessario per ispezionarlo prima dell'esecuzione e per ricostruire cosa faccia in seguito.