Normalmente, o Trickbot é veiculado por meio de campanhas por e-mail, geralmente com arquivos falsos de Excel ou Word anexados. Uma vez abertos, eles direcionam o usuário a uma página falsa do Microsoft Office, urgindo por uma “atualização de segurança” que, na verdade, inicia o download e execução automática do malware. O objetivo principal de quem o usa é roubar credenciais bancárias e outras informações pessoais.
Já era sabido que o Trickbot desabilita e deleta o serviço WinDefend, fecha processos de sistema associados ao Windows Defender, desabilita a proteção em tempo real do mecanismo de defesa e desliga notificações de segurança. Esses cinco passos já são previstos e, apenas com eles, cerca de 250 milhões de contas de e-mail foram comprometidas.