Un loader multi-stadio è un malware che suddivide l'infezione in fasi separate. Un componente agisce come dropper o launcher di prima fase, quindi passa il controllo a moduli successivi che recuperano, decifrano o eseguono il payload finale. Ogni fase può sembrare limitata se considerata da sola, il che aiuta il malware a confondersi con il normale attività del software e rende più difficile l'analisi statica.
Questo design è importante perché i difensori potrebbero vedere solo un installatore dall'aspetto innocuo, uno script o un'utility fidata come uno strumento di build, mentre il vero comportamento malevolo avviene più tardi. Gli aggressori usano i loader multi-stadio per nascondere l'intento, ridurre il codice esposto e sostituire i payload senza modificare l'esca iniziale. Nella difesa, gli analisti dovrebbero tracciare i processi figli, le linee di comando, i file rilasciati e l'attività di rete lungo l'intera catena di esecuzione, non limitarsi a ispezionare il primo file. Rilevare un uso insolito di strumenti, l'esecuzione di script o il caricamento di librerie può esporre il passaggio di consegne tra le fasi.