Un worm infostealer è un malware che combina due comportamenti: ruba dati sensibili, soprattutto credenziali, e può anche auto-propagarsi per raggiungere più sistemi. A differenza dei semplici ladri di password, un infostealer simile a un worm può spostarsi attraverso reti, supporti rimovibili o ambienti condivisi per copiare se stesso e continuare a cercare segreti. L'obiettivo è spesso raccogliere chiavi API, token, cookie di sessione, dati del browser, credenziali cloud o altro materiale di identità della macchina.
Questo è importante perché una singola workstation infetta, un server di build o un laptop di sviluppo può esporre molto più di un solo account utente. Negli attacchi reali, questi strumenti esaminano file, cartelle di configurazione, shell e pipeline software alla ricerca di segreti codificati in modo fisso o memorizzati nella cache. I difensori riducono il rischio rimuovendo le credenziali in testo chiaro, usando token a breve durata, una gestione centralizzata dei segreti e monitorando endpoint e sistemi CI/CD per accessi ai file insoliti o comportamenti di raccolta credenziali.