Een aanvaller zou bijvoorbeeld de virusscanner goedaardige code kunnen laten scannen, die door de controle heen komt, maar net voor het uitvoeren een kwaadaardige lading aanroept. Hier struikelde ik even over. De goedaardige code zou een kwaadaardige lading aanroepen net voor hij zelf uitgevoerd wordt? Code kan tijdens zijn uitvoering iets aanroepen, net daarvoor doet die code helemaal niets. Het Register-artikel waar DamnSecure hierboven naar linkte is duidelijker: de goedaardige code wordt gescand, en in het korte moment tussen goedkeuring en daadwerkelijke aanroep van de goedaardige code overschrijft een andere thread hem met kwaadaardige code, zodat die wordt uitgevoerd terwijl de virusscanner niet beter weet of er staat iets goedaardigs. Die kwaadaardige code is dan vermoedelijk als een blok data geladen, die op het moment van laden onherkenbaar is voor de virusscanner en in geheugen weer in code wordt omgezet. De noodzaak om net in dat korte moment de code te overschrijven, in plaats van ruim ...