L'esecuzione sull'endpoint è il momento in cui il codice malevolo inizia a essere eseguito sul dispositivo di un utente, come un laptop, un telefono o una workstation. È una fase critica perché, una volta che il codice viene eseguito nel contesto locale dell'utente, può interagire con file, dati del browser, processi e connessioni di rete disponibili per quella sessione. Per gli infostealer e altri payload, l'esecuzione è spesso il punto in cui l'attacco passa dalla consegna al furto.
Nelle attacchi reali, l'esecuzione sull'endpoint può essere attivata quando un utente apre un finto installer, un documento o uno script camuffato da software legittimo. I difensori si concentrano molto sulla prevenzione o sul rilevamento di questo passaggio perché bloccare l'esecuzione può fermare la compromissione prima che le credenziali vengano raccolte o che vengano avviati comandi. Controlli come l'application allowlisting, la protezione degli endpoint, il privilegio minimo e il monitoraggio di comportamenti insoliti degli installer aiutano a ridurre la probabilità che un payload malevolo ottenga un punto d'appoggio. Una volta avvenuta l'esecuzione, anche i segreti del browser protetti possono diventare accessibili al malware già in esecuzione sulla macchina.