Un framework malware trapelato è codice malevolo riutilizzabile che è stato esposto, condiviso o rubato e poi riconfezionato da operatori diversi. Invece di costruire ogni componente da zero, gli aggressori possono usare il framework per creare app malevole, distribuire payload e gestire i dispositivi infetti tramite un sistema di controllo comune.
Questo è importante perché gli strumenti trapelati riducono le competenze e i costi necessari per gestire operazioni di crimeware, e possono aumentare il numero di attori che usano lo stesso codice di base. Negli attacchi Android, un framework trapelato può manifestarsi come più app o campagne che condividono pannelli di controllo simili, certificati TLS, abitudini di hosting o modelli di configurazione, anche quando il nome visibile del malware cambia. I difensori usano queste impronte per raggruppare server correlati, individuare infrastrutture riutilizzate e tracciare gli operatori oltre un singolo campione. L'idea chiave è che spesso il framework è più importante del singolo file malware: una volta che il modello trapela, molte campagne possono essere costruite a partire da esso.