Das Vorgehen von Emotet ist variabel. Die Malware unterstützt verschiedene Infektionstechniken lädt über einen Stager verschiedene Schadsoftware nach. So wurde 2018 z.B. laut BSI (1) häufig der Banking-Trojaner Trickbot nachgeladen. Dieser verschafft sich über das bekannte Tool Mimikatz Zugangsdaten zu anderen Systemen im (Windows-)Netzwerk oder gelangt über SMB-Schwachstellen wie Eternal Blue oder Romance auf andere Computer. In dieser Phase kommt es zu weitreichenden Systemausfällen. Durch ständige Veränderung der nachgeladenen Malware, die sich zum Teil sehr tief in den kompromittierten Systemen festsetzt, wird diese von Virenschutzprogrammen häufig gar nicht erkannt und selbst dann ist eine komplette Bereinigung oft nicht möglich, so dass eine Infektion mit Emotet in vielen Fällen eine großflächige Neuinstallation der IT-Infrastruktur nach sich zieht. Neben seiner ursprünglichen Funktion als Banking-Trojaner ist Emotet in der Lage, beliebige andere Schadsoftware nachzuladen. Dazu gehört neben Cryptominern insbesondere Ransomware wie Ryuk. Nachdem sich Emotet via Trickbot im Zielnetzwerk festgesetzt hat, wird Ryuk ausgerollt und ganze Serverlandschaften verschlüsselt, um über eine via Bitcoins zu zahlende Lösegeldforderung zu stellen.