Il malware auto-replicante è codice malevolo che si copia da solo o si diffonde ad altri sistemi con poco o nessun aiuto da parte di un utente. Include molti worm e alcuni virus, che riutilizzano file locali, condivisioni di rete, exploit o credenziali rubate per spostarsi da un host all'altro. L'obiettivo è la persistenza e la scala: una macchina infetta può diventare molte, aumentando il disservizio, il furto o la velocità di cifratura.
Nelle attacchi reali, l'auto-replicazione aiuta il malware a sfuggire al primo punto d'appoggio e a raggiungere più endpoint prima che i difensori reagiscano. Spesso è combinata con la scansione, la distribuzione automatizzata del payload e il traffico di comando e controllo. I difensori riducono il rischio con patching, segmentazione, privilegi minimi, filtraggio della posta elettronica, EDR e controlli rigorosi sul traffico in uscita. Anche le sandbox e gli ambienti di test isolati aiutano gli analisti a osservare in sicurezza il comportamento di propagazione.