criptografam arquivos do usuário, exigindo um resgate financeiro para descriptografá-los.

além de exercer sua função principal, podem capturar telas (screenshots) no computador da vítima, enviando-as para o atacante via e-mail ou FTP, por exemplo.

mesmo sendo baseados em software, requerem a instalação de um hardware no computador da vítima para funcionar.

capturam pacotes endereçados a outros hosts que trafegam pela rede, desde que a interface de rede do computador esteja funcionando em modo promíscuo (promiscuous mode).

exercem atividades de mineração de criptomoedas secretamente no computador da vítima, aproveitando-se da capacidade de processamento disponível, direcionando os ganhos obtidos para uma carteira pertencente ao atacante.