El objetivo principal de Netwalker era simple: ganar mucho dinero. Lo lograban mediante un modelo de RaaS muy eficaz, enfocado en el "big game hunting", apuntando a grandes organizaciones que podían pagar rescates millonarios. Sus tácticas principales incluían acceso inicial, exfiltración de datos y doble extorsión para maximizar la presión sobre las víctimas.

Para ingresar a una red, los afiliados de Netwalker usaban varias técnicas. A menudo explotaban software sin parches y credenciales débiles, enfocándose en particular en vulnerabilidades de dispositivos VPN como Pulse Secure VPN y aplicaciones web que usaban Telerik UI. Una vez dentro, usaban herramientas como Cobalt Strike y scripts de PowerShell para moverse lateralmente, escalar privilegios y evitar la detección. Para cubrir sus rastros e impedir la recuperación, eliminaban las copias de volumen en la sombra con comandos de vssadmin o WMI.

La cadena de ataque solía comenzar con un correo de phishing o al explotar una aplicación expuesta al público. Un método común involucraba campañas de phishing con temática de COVID-19 que engañaban a los usuarios para que abrieran archivos adjuntos maliciosos. Una vez obtenido el acceso inicial, los atacantes desplegaban malware basado en PowerShell que se ejecutaba en memoria. También usaban process hollowing para inyectar su payload malicioso en procesos legítimos como explorer.exe, lo que dificultaba su detección. Después de exfiltrar los datos, el ransomware cifraba los archivos en toda la red y dejaba una nota de rescate en cada carpeta.