Un attacco simile a un worm è un modello di intrusione che si diffonde rapidamente o automaticamente da un sistema a un altro, spesso con poca interazione dell'attaccante dopo il primo punto di accesso. A differenza di una compromissione manuale di un singolo host, può riutilizzare flussi di lavoro fidati, come l'amministrazione remota, il trasferimento di file o strumenti firmati, per spostare codice e attivare l'esecuzione in contesti che sembrano legittimi.
Questo è importante perché l'automazione cambia la scala del rischio. Una singola sessione autorizzata, uno script o un canale di gestione possono diventare un percorso di distribuzione per payload indesiderati, rendendo il rilevamento più difficile rispetto al traffico malware evidente. I difensori dovrebbero monitorare movimenti laterali insoliti, consegne ripetute di file, avvii imprevisti di strumenti e azioni remote che non corrispondono al normale comportamento amministrativo. Una forte separazione dei ruoli, il principio del privilegio minimo, l'autenticazione multifattore, le patch e la registrazione delle sessioni riducono tutti la possibilità che un flusso di lavoro fidato diventi un meccanismo di propagazione.