איך זה עובד
לפעמים קובץ הפעלה חשוד גדול באופן לא רגיל, אבל לא דומה לתוכנית רגילה מסוגו. תוקפים עשויים להוסיף לקובץ נתונים מיותרים כדי לשנות את ההאש שלו, להקשות על בדיקה סטטית או לעבור מגבלות גודל של סורקים מסוימים. ב־MITRE ATT&CK הטכניקה נקראת T1027.001 — Binary Padding. קובץ גדול כשלעצמו אינו ראיה לזדוניות: מתקינים, משחקים, דרייברים ובסיסי נתונים גם הם יכולים להיות גדולים.
MITRE ממליצה להתאים בין יצירה או הופעה של קובץ בינארי גדול באופן חריג לבין ההרצה שלאחר מכן והפעילות הנלווית. גודל הקובץ הוא סף שניתן לכוונון, לא מספר אוניברסלי: הוא חייב להתחשב בתוכנות הרגילות של הארגון הספציפי.