Злоумышленники могут использовать агенты транспорта Microsoft Exchange для закрепления в системе. Агенты транспорта Microsoft Exchange могут обрабатывать сообщения электронной почты, проходящие через транспортный конвейер, выполняя различные задачи, такие как фильтрация спама и вредоносных вложений, журналирование или добавление корпоративной подписи в конец всех исходящих сообщений электронной почты. Агенты транспорта могут быть написаны разработчиками приложений и скомпилированы в .NET-сборки, которые затем регистрируются на сервере Exchange. Агенты транспорта вызываются на определенном этапе обработки электронной почты и выполняют задачи, определенные разработчиком.

Злоумышленники могут зарегистрировать вредоносный агент транспорта, обеспечивающий механизм закрепления на сервере Exchange; этот механизм может быть запущен специальными событиями электронной почты, заданными злоумышленниками. Вредоносный агент транспорта может вызываться для всех писем, проходящих через транспортный конвейер Exchange, однако его можно настроить на выполнение только определенных задач в соответствии с критериями, заданными злоумышленниками. Например, агент транспорта может выполнять такие действия, как копирование и сохранение вложений проходящих сообщений с их последующей эксфильтрацией в том случае, если адрес электронной почты получателя присутствует в списке, предоставленном злоумышленниками.