Il rilevamento statico è una scansione di sicurezza che identifica le minacce esaminando un file o un artefatto prima che venga eseguito. Si basa su indizi fissi come hash, firme, metadati, stringhe, pattern di packer o frammenti di codice dannoso noti. Motori antivirus, gateway di posta elettronica e sistemi di reputazione dei file spesso usano questo approccio perché è veloce e scalabile.
È importante perché i controlli statici sono più efficaci quando una minaccia arriva come file completo e ispezionabile. In campagne in cui i payload vengono assemblati in memoria o creati all'interno del browser, il binario malevolo finale potrebbe non apparire mai su disco in una forma stabile. Questo riduce il valore del blocco basato su hash e della corrispondenza delle firme, costringendo i difensori a usare invece strumenti basati sul comportamento, sandboxing e il rilevamento endpoint con consapevolezza della memoria. Il rilevamento statico è ancora utile per malware noti e per un triage rapido, ma è più debole contro offuscamento, packing, polimorfismo e tecniche fileless.