Un trigger nascosto è una condizione incorporata nel malware che mantiene il payload inattivo finché non compare un segnale, un input o un contesto specifico in fase di esecuzione. Il trigger può dipendere dal tempo, da variabili di ambiente, da una risposta di rete, da un argomento della riga di comando, da un percorso di file o dalla presenza di determinati dettagli del sistema. Finché questa condizione non si verifica, il codice può apparire innocuo e comportarsi come un software normale.
I trigger nascosti sono importanti perché aiutano gli aggressori a eludere i test di base, il sandboxing e la revisione manuale. Un pacchetto malevolo può installarsi correttamente ed eseguirsi normalmente in un laboratorio, per poi attivarsi solo all'interno di una vera workstation di sviluppo, di una pipeline di compilazione o della rete del bersaglio. Gli addetti alla difesa cercano controlli di condizione insoliti, percorsi di esecuzione ritardati e codice che vincola azioni sensibili dietro una logica oscura. Controlli rigorosi della provenienza, revisione delle dipendenze e ambienti di esecuzione controllati aiutano a far emergere il comportamento dormiente prima che raggiunga la produzione.