Una catena di payload è la sequenza ordinata che gli aggressori usano per passare da un'esca iniziale al codice malevolo finale. Spesso inizia con un allegato di phishing, un link o un collegamento, poi prosegue con l'esecuzione, l'attività del downloader e il recupero del payload prima che venga eseguito il malware principale. Ogni passaggio della catena ha uno scopo: eludere il rilevamento, convincere l'utente, preparare il componente successivo o predisporre la persistenza.
Le catene di payload sono importanti perché i difensori raramente bloccano un singolo file in isolamento. Un documento o un collegamento apparentemente innocuo può essere solo il primo anello di un attacco più lungo che termina con un trojan di accesso remoto, il furto di credenziali o il furto di dati. I team di sicurezza cercano l'intera catena correlando il contenuto delle email, le associazioni dei file, l'avvio dei processi, le richieste di rete e gli accessi insoliti agli archivi sensibili. Spezzare anche un solo anello, ad esempio bloccando l'esecuzione di script o segnalando collegamenti sospetti, può impedire che il payload finale venga mai caricato.