Злоумышленники могут разбить свою схему управления на несколько этапов, каждый из которых будет использоваться при определенных условиях или для конкретных целей. Многоэтапная схема позволяет обфусцировать канал управления, чтобы затруднить его обнаружение.

Средства удаленного доступа будут обращаться за инструкциями к командному серверу первого этапа. На первом этапе могут применяться автоматические средства для сбора базовой информации о хосте, обновления инструментов и загрузки дополнительных файлов. После этого может быть загружено второе средство удаленного доступа (RAT), которое будет выполнять перенаправление запросов с хоста на командный сервер второго этапа. На втором этапе, скорее всего, будет реализован более широкий набор функций, позволяющий злоумышленнику взаимодействовать с системой через обратное соединение и дополнительные функции RAT.

Серверы различных этапов, скорее всего, будут размещаться отдельно, без пересечения инфраструктур. Загрузчик также может иметь резервные каналы для обратного вызова первого этапа или иные резервные каналы на случай, если первоначальный канал связи первого этапа будет обнаружен и заблокирован.