Rysunek 1 ― Wykrycie ataku opartego na technice „Wykonanie przez użytkownika w dokumencie Microsoft Office” nastąpiło, gdy explorer.exe uruchomił kod winword.exe po kliknięciu przez użytkownika pliku 2-list.rtf.