いう拡張子のファイル)を実行することから悪意ある動作を開始する場合がほとんどである(トロイの木馬プログラムに限らず、この世に存在する、およそあらゆるプログラムは、実行されなければ存在しているだけであるが)。実行形式以外のファイルであるかのように偽装したり、偽装ではなく本当にオフィススイート等のファイルであるが、その中にスクリプト等として悪意あるコードが含まれることもある。一部のOSメーカーが過去に用意していた、メディアのマウントと同時に、それの中にある何らかのプログラムを実行するなどというようなたぐいの、わざわざクラッカーのために用意したかのような機能が悪用されることが多かった。悪意ある動作として「ひとたび実行されると、被害者の同意を一切得ずに、秘密裏にハードディスク内、もしくはメモリ内に自身を複製、インストールする。Windowsに感染するほとんどのトロイの木馬はレジストリを被害者の同意を得ずに、秘密裏に改変、削除、追加する。トロイの木馬は、被害者のネット接続設定やファイアウォールの設定を変更し、攻撃者が指定する任意のポートを開放し、外部からの接続を許可する。これにより攻撃者は被害者のパソコンを乗っ取って様々な被害をもたらす。例としてはキーロギング、プログラムの追加/削除、ファイルの追加/削除、アンチウイルスソフトの無効化、被害者のデスクトップ画面の撮影、パスワードの奪取、ウェブからの悪意あるプログラムのダウンロードなどがある。」などと言われているが、そういった被害者がわかりやすい動作をすればするほど発覚して削除され、場合によってはネットで話題となり、それ以上の拡大を阻止されるわけであるから「トロイの木馬とは、このような動作をするもの」という理解は危険であり、むしろ、目立たずにこっそりと悪意あるコードを忍ばせているクラッカーの思う壺である。2005年、日本国内でも、不正ソフトウェアを仕込んだCD-ROMを、送り主を銀行と偽りインターネットバンキングサービスのユーザに送りつけ、不正送金を実行させた事件が発生した。一部マスメディアではスパイウェアだとして報道されているが、不正ソフトウェアの分類的にはトロイの木馬が正しい。BMGが、コピーコントロールCDに悪質なマルウェア(rootkit型)を仕込んだとして問題になった。