Un packer è un modo per offuscare un programma eseguibile, cioè trasformarlo in modo che il risultato sia ancora eseguibile e abbia lo stesso effetto quando viene eseguito, ma sembra diverso (quindi non verrà rilevato dall'antivirus statico). I cattivi usano spesso packer personalizzati per offuscare il loro malware, per rendere meno probabile che l'anti-virus rilevi il malware o per rendere più difficile per i produttori di antivirus effettuare il reverse engineering del malware e capire cosa sta facendo.
È possibile rilevare se un determinato eseguibile è stato compresso con un programma di compressione personalizzato? In altre parole, dato un eseguibile, mi piacerebbe classificarlo come "è stato confezionato con un packer personalizzato" o "non ha". Gli strumenti antivirus esistenti sono in grado di rilevare se un eseguibile è stato compresso con un programma di compressione personalizzato?
Sono particolarmente curioso della seguente variante più semplice del problema. Supponiamo che io sappia di un particolare packer personalizzato che viene usato dai cattivi. È possibile riconoscere gli eseguibili che sono stati imballati con questo packer? In altre parole, data una E eseguibile e un packer P, mi piacerebbe classificare E come "era impacchettato da P" o "non era". Esistono tecniche note per farlo? Quanto sono efficaci?