Наглядный пример про LNK

Цепочка следующая

Пользователь получает фишинговое письмо с zip архивом внутри которого lnk. При нажатии на него открывается сайт anydesk (настоящий), а в фоне загружается MSI installer с другого сайта (смотрим скрин). Что там загружается, думаю понятно.

Будьте аккуратны