Злоумышленники могут удалять индикаторы из своих вредоносных инструментов, если считают, что их инструмент был обнаружен, помещен в карантин или иным способом заблокирован. Они могут внести изменения в инструмент, удалив индикатор, и в дальнейшем использовать обновленную версию, которая больше не будет обнаруживаться защитными системами атакуемой цели или последующих целей, в которых могут использоваться аналогичные системы.

В качестве характерного примера можно привести ситуацию, когда антивирусное программное обеспечение обнаруживает вредоносные программы по сигнатурам файлов и помещает их в карантин. Злоумышленник, определивший, что его вредоносная программа была помещена в карантин в соответствии с сигнатурой файла, может изменить файл, чтобы явным образом избавиться от этой сигнатуры, а затем повторно использовать эту вредоносную программу.