Lo spoofing del nome del processo è una tecnica di mascheramento in cui il malware si presenta con un nome che somiglia a quello di un processo affidabile del sistema o di un'applicazione. L'obiettivo è far sembrare il processo dannoso ordinario nelle liste delle attività, nei monitor dei processi, nei log e nei pannelli di sicurezza. Gli attaccanti spesso scelgono nomi molto simili a quelli legittimi, che differiscono solo per uno o due caratteri, oppure copiano nomi comunemente visti sulla piattaforma di destinazione.
Questo è importante perché gli analisti si affidano spesso ai nomi dei processi per un triage rapido e per le attività di hunting. Un nome spoofato può ritardare l'indagine, nascondere una backdoor tra attività normali o far sembrare innocuo un payload sconosciuto. In attacchi reali, la tecnica può comparire insieme a persistenza, reverse shell o traffico di command-and-control per ridurre i sospetti. I difensori la contrastano controllando il percorso dell'eseguibile, la firma digitale, le relazioni tra processo padre e figlio, gli argomenti della riga di comando e comportamenti insoliti come l'accesso alla rete o i cambiamenti di privilegi. Il nome da solo non basta mai; è il contesto che rivela l'inganno.