Una catena di distribuzione del malware è il percorso completo che gli aggressori usano per collocare codice malevolo su un bersaglio. Può includere un dominio-esca, una pagina di phishing, un host di download, un redirector, un bucket cloud, una pagina di exploit, un server di staging e il payload finale. Ogni passaggio aiuta a spostare la vittima dal contatto iniziale all'infezione.
Questo termine è importante perché i difensori raramente vedono solo il file malware finale. Spesso vedono frammenti della catena: domini, intervalli IP, provider di hosting, hash dei file ed endpoint di command-and-control. Mappando insieme questi elementi, gli analisti possono bloccare le fasi iniziali, individuare infrastrutture riutilizzate e attribuire campagne correlate anche quando gli aggressori ruotano domini o payload. In pratica, dare la caccia alla catena di distribuzione è spesso più efficace che reagire a un singolo URL malevolo.