Un aggressore deve in questo caso disporre necessariamente dell'accesso fisico alla macchina e può sfruttare vulnerabilità, adesso corrette, presenti nell'Utilità di pianificazione di Windows, nella suite di protocolli di sicurezza Microsoft NTLM (NT LAN Manager), in ALPC (Advanced Local Procedure Call) - uno dei componenti di base del sistema operativo per lo scambio di messaggi tra le applicazioni -, nel servizio Windows Audio, in Windows AppX Deployment Service (AppXSVC), deputato all'avvio delle applicazioni del Microsoft Store, nelle routine di installazione Windows Installer e nella shell di Windows che, in alcuni casi, può gestire in maniera erronea i collegamenti alle cartelle.