Помню, в начале нулевых был прикол, когда кто-то заметил, что в файле ярлыка по какой-то причине данные дублируются. Возможно, одна копия была в ANSI, вторая – в юникоде, но мне лень вспоминать и разбираться. И вот, одна копия показывалась в свойствах ярлыка, а вторая использовалась при запуске этого самого ярлыка. Таким образом, достаточно было подправить вторую на что-то другое, и пользователь получал ярлык, который запускал страшный вирус, но в свойствах было что-то безобидное.