Злоумышленники могут обфусцировать содержимое команды во время ее выполнения, чтобы помешать обнаружению команды. Обфускация командной строки может затруднить сигнатурный анализ строк и шаблонов в командах и сценариях. Этот тип обфускации может использоваться внутри команд, которые выполняются доставленными полезными нагрузками (например, при фишинге и теневой (drive-by) компрометации), или интерактивно через интерпретаторы командной строки и сценариев.

Например, злоумышленники могут манипулировать синтаксисом, в котором используются различные специальные и управляющие символы (такие как пробел, ^, +, $ и %), чтобы затруднить анализ команд, сохранив при этом их функциональность. Многие языки поддерживают встроенную обфускацию в виде кодирования по алгоритму Base64 или кодирования URL-адресов. Злоумышленники также могут реализовать обфускацию команд вручную, используя разделение строк ("Wor"+"d.Application"), изменение порядка и регистра символов (rev <<<'dwssap/cte/ tac'), подстановочные символы (mkdir -p '/tmp/:&$NiA'), а также различные приемы с передачей строк через токены, переменные окружения или потоки ввода.

Злоумышленники также могут использовать такие приемы, как обход каталогов, чтобы обфусцировать путь к бинарному файлу, вызываемому командой (C:\voi\pcw\..\..\Windows\tei\qs\k\..\..\..\system32\erool\..\wbem\wg\je\..\..\wmic.exe shadowcopy delete).

Для обфускации команд также используются такие инструменты, как Invoke-Obfuscation и Invoke-DOSfucation.