Злоумышленники могут маскировать полезную нагрузку под легитимные файлы, изменяя ее форматирование, в том числе подпись, расширение и содержимое файла. Различные типы файлов имеют типичный для них стандартный формат, в частности определенные способы кодирования содержимого и определенное внутреннее устройство. Например, сигнатура файла (также известная как заголовок или магическое число) — это начальные байты файла, которые часто используются для определения его типа. Например, заголовок файла JPEG — значение 0xFF 0xD8, а расширение — .jpe, .jpeg или .jpg.

Злоумышленники могут изменить шестнадцатеричный код заголовка и (или) расширение файла полезной нагрузки, чтобы обойти проверку подлинности файла и (или) санацию ввода. Такой прием обычно используется для защиты от обнаружения при передаче файлов полезной нагрузки (например, при передаче инструментов из внешней сети) и их сохранении (например, при загрузке вредоносного ПО).

Стандартные типы и расширения неисполняемых файлов, например текстовых (.txt) и графических (.jpg, .gif и другие), обычно воспринимаются как безопасные. Исходя из этого, злоумышленники могут использовать расширение файла для маскировки вредоносного ПО, например дав PHP-бэкдору имя test.gif. Благодаря расширению файл выглядит безопасным, и пользователь может не догадаться о том, что этот файл является вредоносным.

Для маскировки вредоносных программ и функций также могут использоваться полиглоты — файлы, имеющие несколько различных типов и функционирующие по-разному в зависимости от приложения, которое их выполняет.