Il polimorfismo è una tecnica del malware in cui il codice cambia la propria forma visibile mantenendo lo stesso comportamento malevolo. Le modifiche possono includere la rinomina delle variabili, la riorganizzazione delle istruzioni, la cifratura di parti del payload o la generazione di una nuova struttura binaria per ogni copia. Questo fa apparire diversi due campioni anche quando eseguono lo stesso attacco.
È importante perché molti strumenti di sicurezza si basano su firme, hash o pattern statici. Se il malware muta spesso, tali rilevamenti diventano meno affidabili e gli analisti devono affidarsi maggiormente al comportamento, all'ispezione della memoria e all'analisi in sandbox. Negli attacchi reali, il polimorfismo è spesso combinato con tecniche fileless o residenti in memoria e con la consegna attraverso flussi di lavoro fidati, come progetti contaminati o installatori, per ridurre gli artefatti evidenti. I difensori rispondono con un rilevamento a più livelli, regole euristiche, monitoraggio di script e processi e confronti ripetuti del comportamento a runtime piuttosto che del solo aspetto del file.