Un loader specifico per la vittima è un componente malware che decripta, decomprime o attiva il proprio payload solo quando rileva l'ambiente di destinazione previsto. Il controllo può usare identificatori dell'host, dettagli del dominio, caratteristiche hardware, variabili d'ambiente o una chiave personalizzata derivata dalla vittima. Al di fuori di quel contesto, il loader può terminare, produrre un output innocuo o sembrare guasto.
Questa tecnica è importante perché ostacola l'analisi e la ricerca delle minacce. Sandbox, sistemi di detonazione e scanner malware generici potrebbero non vedere mai il payload reale se il loader rifiuta di decomprimersi su sistemi non target. Negli attacchi, i loader specifici per la vittima sono spesso usati per proteggere gli impianti di spionaggio, ridurre il riutilizzo dei campioni e impedire agli analisti reverse engineer di estrarre codice funzionante. I difensori cercano comportamenti insoliti dei processi, tentativi di decompressione falliti, esecuzione solo in memoria e logica di decrittazione legata all'host, invece di affidarsi soltanto agli artefatti su disco.