DLL sideloading
Colocar tu propio código en un archivo con el nombre correcto junto a un binario firmado y de confianza, y dejar que ese binario lo ejecute por ti. Lo más parecido a heredar la reputación de otro.
Windows busca una DLL en el directorio propio de la aplicación antes que en el del sistema, y miles de programas legítimos cargan bibliotecas por nombre relativo. Basta copiar uno de esos binarios firmados a una carpeta escribible junto con una DLL propia que lleve el nombre esperado para que el código corra dentro de un proceso con aspecto totalmente normal: nombre de archivo correcto, firma válida, fabricante conocido. Para que el programa siga funcionando, el módulo falso suele reenviar todas las llamadas a la biblioteca real, así que el comportamiento visible no cambia. La técnica la ha usado prácticamente todo actor estatal documentado, a menudo con herramientas antiguas de grandes fabricantes de antivirus o hardware como vehículo. La detección se apoya en la carga de módulos más que en el arranque de procesos: la señal es un módulo sin firmar, con nombre de aspecto propio del sistema, cargado desde el directorio de un usuario.