La ricifratura è il processo di avvolgere un file, un payload o un flusso di dati in una nuova forma crittografata o offuscata, così da farlo apparire diverso rispetto alla versione precedente. Nella distribuzione di malware, questo viene spesso usato come fase di occultamento più che come vera misura di sicurezza: il codice malevolo sottostante può rimanere lo stesso, ma il suo aspetto esterno cambia.
È importante perché molti difensori si affidano ancora a indicatori statici come hash, firme e pattern di file. Se un attaccante ricifra o ripacchetta ripetutamente il payload, quegli indicatori diventano meno utili e gli strumenti di sicurezza devono lavorare di più per identificare la minaccia. La ricifratura si osserva comunemente in crypter, dropper e packer che cercano di eludere la scansione antivirus e l'ispezione in sandbox.
I difensori rispondono guardando oltre la superficie del file: comportamento dei processi, attività sospette di unpacking, processi figli, gestione degli archivi e telemetria delle email. In pratica, la ricifratura fa parte del più ampio insieme di tecniche di offuscamento usate per guadagnare tempo contro il rilevamento.