DLL sideloading
Colocar seu próprio código em um arquivo com o nome certo ao lado de um binário assinado e confiável, e deixar que ele mesmo o execute para você. É o mais perto que se chega de herdar a reputação alheia.
O Windows procura uma DLL primeiro no diretório do próprio aplicativo, antes do diretório do sistema, e milhares de programas legítimos carregam bibliotecas por nome relativo. Copie um desses binários assinados para uma pasta gravável junto com uma DLL sua, com o nome que o programa espera, e o código roda dentro de um processo de aparência totalmente normal: nome de arquivo certo, assinatura válida, fornecedor conhecido. Para o programa continuar funcionando, o módulo falso costuma repassar todas as chamadas para a biblioteca real, e o comportamento externo não muda. A técnica foi usada por praticamente todo ator estatal documentado, muitas vezes com ferramentas antigas de grandes fabricantes de antivírus e hardware como veículo. A detecção se apoia em carregamento de módulos, não em início de processos: um módulo sem assinatura, com nome parecido com o de um módulo do sistema, carregado de um diretório de usuário, é o sinal.