Una catena di decrittazione lato server è un design malware in cui il payload finale non può essere ricostruito بالكامل dal solo file locale. Invece, il campione dipende da uno o più passaggi remoti, come contattare un'infrastruttura controllata dall'attaccante per ricevere chiavi, blob intermedi o istruzioni di decrittazione. Questo rende il payload più difficile da estrarre con l'analisi statica, perché il codice utile può comparire solo dopo uno scambio di rete in tempo reale.
Nella sicurezza informatica, questo è importante perché sposta l'analisi dall'ispezione basata sul disco al monitoraggio in runtime. I difensori possono avere bisogno di acquisizioni di memoria, ispezione dei pacchetti, log dei proxy e telemetria degli endpoint per vedere il payload decrittato o comprenderne il comportamento. Gli attaccanti usano questo approccio per ridurre il valore dei campioni recuperati, rallentare il reverse engineering e aggiungere resilienza contro il sandboxing. In pratica, gli analisti possono osservare un dropper apparentemente incompleto, seguito da una richiesta di rete che sblocca il payload reale solo dopo che il server risponde.