Un assembly .NET è un pacchetto di codice gestito che il runtime .NET può caricare ed eseguire. Di solito contiene codice in linguaggio intermedio (IL), metadati e riferimenti ad altri componenti, ed è in genere distribuito come DLL o EXE. Il runtime usa i metadati per risolvere tipi, metodi e dipendenze prima di eseguire il codice.
Gli assembly sono importanti per la sicurezza perché gli attaccanti possono usarli come formato compatto per il payload e, in alcuni flussi di lavoro, caricarli direttamente dalla memoria invece di scriverli su disco. Questo riduce il valore del rilevamento basato sui file e può rendere più difficile l'analisi. Negli attacchi reali, un assembly può essere predisposto da uno script o da un comando PowerShell e poi eseguito tramite reflection o un caricatore in memoria. I difensori cercano catene di processi insolite, caricamento di moduli in memoria, attività del CLR e comportamento sospetto degli script. La registrazione, il controllo delle applicazioni e la telemetria AMSI o EDR possono aiutare a esporre assembly che non compaiono mai come file normali.