Win+R è la scorciatoia da tastiera di Windows che apre la finestra Esegui. Offre accesso rapido a programmi, file e comandi, il che la rende utile per gli amministratori e al tempo stesso interessante per gli aggressori. Nell'uso normale, un utente digita un comando attendibile e lo avvia in locale.
Negli attacchi di social engineering, come le catene in stile ClickFix, Win+R diventa un ponte da una pagina web all'esecuzione di codice. Un falso prompt di verifica può istruire la vittima a premere Win+R e incollare un comando che avvia PowerShell, mshta.exe, cmd.exe o un altro host di script. I difensori osservano sequenze sospette come l'attività del browser seguita da Win+R, le modifiche negli appunti e la comparsa improvvisa di un processo dalla finestra Esegui. Formare gli utenti a considerare ad alto rischio i comandi incollati e monitorare queste catene di processi può aiutare a bloccare il passaggio dal browser alla shell.