Un framework malware modulare è un software dannoso costruito con parti riutilizzabili invece che con un singolo programma fisso. Un loader o controller centrale può recuperare, sostituire o attivare moduli separati per attività come persistenza, injection di codice, furto di credenziali, manomissione del browser o esfiltrazione di dati. Questo design consente agli aggressori di riutilizzare la stessa operazione di base su obiettivi diversi cambiando solo i componenti necessari.
Nella sicurezza informatica, la modularità è importante perché rende il malware più difficile da rilevare e analizzare. I difensori possono osservare il comportamento principale del framework, ma i moduli del payload possono essere distribuiti in un secondo momento, nascosti fino al momento del bisogno o sostituiti dopo le attività di rimozione. Negli attacchi reali, i framework modulari vengono spesso usati per adattarsi rapidamente a ambienti diversi, incluse le sessioni del browser, dove un modulo rimuove le protezioni e un altro inserisce codice controllato dall'aggressore. Le difese si concentrano sul rilevamento comportamentale, sulla telemetria degli endpoint, sull'auditing di script ed estensioni, sul monitoraggio della rete e sull'isolamento dei componenti ad alto rischio, in modo che un modulo non possa facilmente espandersi al resto dell'ambiente.