Il Windows loader è il componente del sistema operativo che risolve e mappa il codice eseguibile e le DLL all'interno di un processo. Quando un'applicazione si avvia o richiama una libreria, il loader decide dove cercare, cosa caricare e in quale ordine. Questa logica di ricerca è essenziale per il normale funzionamento del software, ma crea anche un rischio per la sicurezza se un attaccante può collocare una DLL malevola in una posizione che il programma controlla prima di quella reale.
Negli attacchi, questo viene spesso sfruttato tramite il DLL sideloading: viene avviato un eseguibile legittimo, il loader trova una libreria controllata dall'attaccante nelle vicinanze e il codice malevolo viene eseguito all'interno di un processo considerato affidabile. I difensori monitorano percorsi di ricerca delle DLL sospetti, librerie non firmate, comportamenti imprevisti tra processo padre e figlio ed eseguibili che caricano moduli da directory scrivibili. Le misure di hardening includono l'uso di percorsi completamente qualificati, la riduzione delle posizioni scrivibili nell'ordine di ricerca, l'abilitazione delle modalità sicure di ricerca delle DLL e il monitoraggio dei caricamenti dei moduli con la telemetria degli endpoint.