Il confezionamento a livelli è la pratica di avvolgere il malware in più file o script annidati in modo che il payload reale non sia visibile a prima vista. Ogni livello può comprimere, cifrare, codificare o rilasciare il successivo fino a quando l'eseguibile finale non viene estratto o avviato. I team di sicurezza spesso osservano questo nei loader di malware, nei droppers e nei stealers che vogliono rallentare l'analisi statica ed evitare semplici controlli basati su firme.
Questo è importante perché ogni livello aggiuntivo aumenta il tempo necessario per ispezionare un campione e può ritardare il rilevamento abbastanza a lungo da consentire al malware di eseguirsi. Negli attacchi reali, il confezionamento a livelli è comunemente abbinato a offuscamento, falsi installer o aggiornamenti apparentemente legittimi. I difensori rispondono facendo detonare i campioni in sandbox, controllando i processi figlio e tracciando le scritture su file e i percorsi di esecuzione degli script. Quando un download sospetto continua a decomprimere nuovi componenti, quel comportamento è spesso un segnale di allarme che il file sta nascondendo il suo vero scopo.