Un archivio protetto da password è un file compresso, come un ZIP o un RAR, che richiede una password prima che il suo contenuto possa essere estratto o ispezionato. Gli aggressori lo usano per nascondere malware, ritardare la scansione automatica e rendere più difficile per gli strumenti di sicurezza visualizzare in anteprima ciò che contiene.
Negli attacchi reali, l'archivio spesso contiene un payload iniziale, uno script o un'altra fase di una catena malware. La password può essere condivisa nel messaggio di phishing, incorporata in un file separato o ricostruita durante la consegna, in modo che l'archivio venga assemblato solo dopo che l'utente apre il contenuto esca. I difensori monitorano allegati crittografati, annidamenti insoliti di archivi e attività del browser o della casella di posta che indicano che il contenuto viene estratto dopo la consegna. Poiché la crittografia impedisce una facile ispezione, le organizzazioni fanno spesso affidamento su sandboxing, detonazione degli allegati e regole di policy che segnalano gli archivi protetti da password nel traffico email sospetto.