大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い。
標的型メール.
添付した実行ファイルの拡張子の偽装方法としては下記のものがある：
マルウェア配布ネットワーク.
マルウェア配布ネットワークは多数の入口サイトを少数の攻撃サイトへと導くための仕組みである。このような構成を取る事により、攻撃者には以下の利点がある：
またスクリプトを使ったリダイレクトの場合、リダイレクトが閲覧時に初めて生成されるようにできるので、リダイレクトされている事がウェブ管理者に気づかにくい。
エクスプロイトキット.
クローキング.
リモートエクスプロイトの実行.
これまで標的型メールやウェブアクセスを利用して標的システム上でローカルエクスプロイトを実行する手段を解説してきたが、攻撃者がセキュリティ上の欠陥をついて標的組織に潜入して遠隔地からリモートエクスプロイトを実行する場合もある。そうした方法としては例えば下記のものがある：
制御システムだとSCADAに共有モデムが利用されている事が多いので、ここから侵入される場合もある。
遠隔操作ステージ.
ファイヤーウォールのフィルタリングルールが形骸化していたり、をプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう
永続化.
その他の特徴.
マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する。
横断的侵害ステージ.
このステージで攻撃者は、最初に侵害したシステムを足がかりにして同じ組織内の脆弱なシステムを横断的に侵害する。具体的には最初に侵害したシステムを足がかりにして、インストールしたプログラムを使いながら、攻撃者は試行錯誤してネットワークの構造を把握し、認証情報を窃取し、（＝他の端末やサーバへの侵入）や権限昇格等を行う。このステージでも攻撃者はバックドアを設置する。
このステージで攻撃者がWindowsコマンドとしては以下のものがある：