L'esecuzione proxy tramite binario attendibile è una tecnica in cui un attaccante usa uno strumento legittimo, firmato o integrato del sistema operativo per avviare codice malevolo. Invece di inserire un loader chiaramente sospetto, l'attaccante "proxies" l'esecuzione tramite un processo attendibile come un host di script, un programma di installazione o un gestore di documenti. Poiché il binario genitore è un software normale, l'attività può confondersi con l'amministrazione di routine o con flussi di lavoro avviati dall'utente.
Questo è importante perché molte difese si concentrano inizialmente sulla reputazione dei file e sugli eseguibili sconosciuti. Se il contenuto malevolo viene avviato da un binario attendibile, questi controlli possono non individuare il vero rischio. Negli attacchi, ciò spesso appare come righe di comando insolite, strane catene di processi padre-figlio o uno strumento di sistema che apre script, HTML Application o contenuti remoti. I difensori cercano queste anomalie, limitano gli strumenti non necessari con il controllo delle applicazioni e usano rilevamenti comportamentali per segnalare i binari attendibili che agiscono come launcher per malware.