スリープ難読化
休眠中、自分自身のコードをメモリ上で暗号化し、目覚める直前に復号する手法。プロセスのメモリを定期的に調べるスキャナを狙ったものだ。
インプラントがやることは少ない。数分眠り、指示を取得し、また眠る。その間、コードは読み取り・実行権限のついた平文のままメモリにあり、これはシグネチャルールによる定期的なメモリスキャンがまさに探している状態である。この手法は、通常の関数でスリープする代わりに小さな処理の連鎖へ制御を渡すことでそれを逆手に取る。歴史的にはEkko方式のタイマーキュー、Foliage方式の非同期プロシージャ呼び出しを使い、メモリ保護を書き込み可能に変更して領域を暗号化し、待機し、逆の手順で元に戻す。休眠期間のほぼ全体で、読み取れる痕跡は残らない。ただし別の痕跡が生じる。どのモジュールにも帰属できないスタックで待機するスレッドや、周期的に保護属性が変わるメモリ領域は、それ自体が警告の対象になるほど珍しい。