Il rilevamento basato su hash identifica un file tramite la sua impronta crittografica, o hash. Poiché un hash cambia quando cambia il file, questo metodo è più efficace per campioni di malware noti e non modificati. Gli strumenti di sicurezza usano gli hash per bloccare file malevoli specifici, velocizzare il triage e condividere informazioni sulle minacce in forma compatta.
Il suo punto debole è che gli aggressori possono aggirarlo alterando il file, ripacchettandolo o generando una nuova variante per ogni vittima. Nella moderna distribuzione di malware, un browser, un programma di installazione o uno script può assemblare un nuovo payload al volo, producendo ogni volta un hash diverso. Ciò rende le semplici liste di blocco meno affidabili e spinge i difensori verso il rilevamento comportamentale, l'analisi della lineage dei file e il monitoraggio dei processi. Il rilevamento basato su hash resta utile, ma funziona meglio come un livello in una più ampia strategia di difesa piuttosto che come unico controllo.