Existe uma falha de bypass de recurso de segurança no processamento de arquivos de atalho da Internet (.URL). O problema decorre de uma falha no mecanismo de proteção onde o Windows não propaga corretamente os identificadores de zona Mark-of-the-Web (MotW)—um mecanismo usado para marcar arquivos baixados da internet como não confiáveis—ao analisar esses arquivos. Isso permite que invasores ignorem o Microsoft Defender SmartScreen e outros avisos de segurança, permitindo a entrega e execução silenciosa de malware. A exploração ocorre quando um usuário abre um arquivo .URL especialmente criado, que pode ser entregue via e-mail, SharePoint ou compartilhamentos de rede. Em alguns casos, os invasores usam uma técnica de atalho duplo, onde um arquivo disfarçado de `.jpeg` é, na verdade, um arquivo `.url` que aponta para outro atalho para acionar o bypass. Esta falha foi explorada ativamente em campanhas de ransomware e pelo grupo APT Water Hydra para entregar info-stealers e o malware DarkGate, frequentemente executando comandos via `rundll32.exe` ou `ieframe.dll`.