Un payload multi-fase è una catena di attacco consegnata in passaggi separati invece che come un unico file o comando dannoso completo. La prima fase è di solito piccola e silenziosa: può stabilire un punto d'appoggio, scaricare il componente successivo o impostare un canale di comunicazione. Le fasi successive aggiungono poi funzionalità come il furto di credenziali, la persistenza, il movimento laterale o una shell interattiva. Suddividere l'attacco in questo modo aiuta gli aggressori a ridurre il rilevamento, aggirare i semplici scanner e modificare il comportamento se una fase viene bloccata.
Nelle intrusioni reali, i payload multi-fase vengono spesso usati dopo l'ingegneria sociale o l'accesso iniziale. Un utente può approvare un supporto remoto, aprire un'esca o eseguire un piccolo loader che recupera i veri strumenti solo dopo l'atterraggio. I difensori dovrebbero monitorare catene di processi insolite, interpreti di script che avviano connessioni di rete e traffico in uscita che appare dopo una prima azione apparentemente innocua. Il rilevamento migliora quando gli strumenti di sicurezza correlano ciascuna fase invece di trattare il primo file o messaggio come l'intera minaccia.