Il process spoofing è una tecnica furtiva in cui il malware si presenta come un processo diverso e dall'aspetto innocuo negli strumenti di sistema come ps, Task Manager o /proc/<PID>/cmdline. Il codice in esecuzione può essere malevolo, ma il nome visibile, la riga di comando o la relazione padre-figlio vengono alterati per ridurre i sospetti.
Questo è importante perché i difensori spesso fanno affidamento sugli elenchi dei processi per il triage. Se una minaccia può mascherare la propria identità, gli analisti possono trascurare la persistenza, il furto di credenziali o l'attività di comando e controllo. Negli attacchi reali, lo spoofing è spesso combinato con attività pianificate, cron job o process injection, così che il malware si avvii in modo silenzioso e si confonda con l'amministrazione normale. Le difese si concentrano sul comportamento piuttosto che sui nomi: confrontare i metadati del processo con binari firmati, percorsi dei file, hash e contesto di avvio; stabilire una baseline dell'attività normale; e generare avvisi in caso di discrepanze tra il nome di un processo e l'effettiva posizione del suo eseguibile o i suoi argomenti.