与计算机病毒不同， 特洛伊木马 并非自动运行，而是需要用户下载应用程序的服务器端才能工作。这意味着应执行可执行文件 (.exe) 文件并安装程序后，特洛伊木马才会攻击设备的系统。 

特洛伊木马病毒通过貌似合法的电子邮件和电子邮件的附件进行传播，攻击者会通过这些垃圾邮件到达尽可能多的用户的收件箱。当打开电子邮件并下载恶意附件时，特洛伊木马服务器会安装，并每次在受感染设备打开时会自动运行。 

特洛伊木马也可能会通过社交工程策略感染设备，网络罪犯利用这些策略强迫用户下载恶意应用程序。恶意文件可能隐藏在横幅广告、弹出广告或网站上的链接中。 

被特洛伊木马恶意软件感染的计算机也可以将恶意软件传播到其他计算机。网络罪犯将设备变为僵尸电脑，这意味着他们在用户不知情的情况下即可远程控制设备。然后，黑客可以使用僵尸电脑继续在被称为僵尸网络的设备网络中共享恶意软件。

例如，用户可能收到其认识的人发来的电子邮件，其中包含看似合法的附件。但是，附件包含恶意代码，可在其设备上执行和安装特洛伊木马。用户通常不会知道有任何不良事件发生，因为他们的电脑可能继续正常工作，没有感染迹象。 

恶意软件将继续保留在设备上而不会被检测到，直到用户采取特定操作，例如访问某个网站或银行应用程序。这将激活恶意代码，随后特洛伊木马将执行黑客设计的操作。根据特洛伊木马的类型和构建方式，恶意软件可能会自行删除、恢复为休眠状态或在设备上保持活动状态。

特洛伊木马还可以使用一串移动恶意软件攻击和感染智能手机和平板电脑。攻击者可以通过将流量重新定向到连接至 Wi-Fi 网络的设备，然后使用该设备启动网络攻击来实现这一目标。