Un file collegamento di Windows, solitamente con estensione .lnk, è un piccolo file che punta a un altro programma, documento o comando. Quando un utente lo apre, Windows segue la destinazione memorizzata all'interno del collegamento e può anche passare argomenti o avviare un'azione da riga di comando. Questo rende i file .lnk utili per la navigazione quotidiana sul desktop, ma anche interessanti per gli aggressori.
Nelle campagne di phishing e nella distribuzione di malware, un collegamento può essere camuffato da normale documento o cartella mentre in realtà avvia PowerShell, cmd.exe o un altro loader in background. Poiché il file spesso sembra innocuo e può usare un'icona credibile, può superare un'ispezione superficiale. I difensori cercano destinazioni sospette, argomenti di comando nascosti, catene di processi padre-figlio insolite e collegamenti provenienti da email, archivi o download. Monitorare l'esecuzione dei file .lnk è importante perché spesso segna il momento in cui un clic avviato dall'utente si trasforma in esecuzione di codice.