L'attività di distribuzione è il processo criminale di consegna di malware, loader, pagine di phishing o altri payload malevoli attraverso canali intermediari. Invece di attaccare direttamente ogni bersaglio, gli operatori usano infrastrutture come exploit kit, campagne spam, annunci malevoli, siti web compromessi, botnet o reti di affiliate in stile rivenditore per spostare il payload verso le vittime.
Questo è importante perché il livello di distribuzione spesso determina scala, portata e affidabilità. Un payload efficace è meno utile se non può essere consegnato in modo efficiente, mentre una catena di consegna ben gestita può esporre molti sistemi contemporaneamente. Negli attacchi reali, i difensori possono vedere la fase di consegna come un allegato email malevolo, un download drive-by, un falso prompt di aggiornamento o traffico proveniente da un dominio di hosting sospetto. I controlli di sicurezza che interrompono la distribuzione includono il filtraggio delle email, il blocco tramite reputazione web, la protezione degli endpoint, l'applicazione di patch al software vulnerabile e il monitoraggio di infrastrutture di consegna ripetute.