O controle externo de nomes ou caminhos de arquivos no protocolo NTLM (NT LAN Manager) do Windows permite que um invasor não autorizado realize spoofing através de uma rede. Este problema, que afeta especificamente o componente File Explorer, pode levar à divulgação de hashes NTLM. Invasores podem explorar isso convencendo um usuário a descompactar um arquivo malicioso ou abrir arquivos `.library-ms` maliciosos, o que faz com que o Windows Explorer inicie automaticamente uma solicitação de autenticação SMB para um servidor SMB controlado pelo invasor. Incidentes reais foram registrados, incluindo campanhas globais de phishing e ataques direcionados a entidades governamentais na Polônia e Romênia, potencialmente ligados ao APT28.