Il caricamento a fasi è un metodo di distribuzione di malware in più passaggi in cui un componente prima viene eseguito come loader, poi decomprime, decifra o recupera la fase successiva prima dell'esecuzione del payload finale. Invece di rilasciare un singolo eseguibile evidente, l'attaccante suddivide l'operazione in livelli così che ogni parte sembri meno sospetta e possa eludere un'ispezione rapida.
Questo è importante nella sicurezza informatica perché aumenta furtività e flessibilità. Un piccolo loader iniziale può nascondersi dentro un programma di installazione legittimo, un documento o un'utilità, quindi recuperare un payload di seconda fase solo quando le condizioni sono favorevoli. I difensori possono osservare processi figli insoliti, attività di script, esecuzione solo in memoria, percorsi di installazione non standard o attività pianificate create durante la catena. Il caricamento a fasi complica anche l'analisi statica, poiché il codice più pericoloso potrebbe non essere presente fino al runtime. Il monitoraggio degli alberi dei processi, delle righe di comando e delle connessioni di rete aiuta a rivelare il passaggio tra le fasi ed esporre il percorso completo dell'attacco.