Злоумышленники могут запускать свою полезную нагрузку путем перехвата переменных окружения, которые динамический компоновщик использует для загрузки общих библиотек. На этапе подготовки к выполнению программы динамический компоновщик загружает общие библиотеки по абсолютным путям, указанным в переменных окружения и файлах, например, LD_PRELOAD в Linux или DYLD_INSERT_LIBRARIES в macOS. Библиотеки, указанные в переменных окружения, загружаются первыми и имеют приоритет над системными библиотеками с тем же именем. Этими переменными часто пользуются разработчики с целью отладки бинарных файлов без перекомпиляции, устранения конфликтов символов и реализации собственных функций без изменения исходной библиотеки.

В Linux и macOS перехват переменных динамического компоновщика может предоставить доступ к памяти процесса, системным и сетевым ресурсам, а также к повышенным привилегиям. Этот метод также дает возможность избежать обнаружения защитными решениями, поскольку выполнение происходит в контексте легитимного процесса. Злоумышленники могут устанавливать переменные окружения через командную строку, используя команду export либо функции setenv или putenv. Злоумышленники также могут использовать перехват динамического компоновщика (), чтобы экспортировать переменные в оболочку или установить их программным способом посредством более высокоуровневого синтаксиса, такого как os.environ в Python.

В Linux злоумышленники могут перенастроить порядок поиска библиотек, чтобы вместо легитимных библиотек, запрашиваемых целевой программой, при ее запуске загружались вредоносные с теми же именами. Порядок поиска библиотек настраивается через переменную окружения LD_PRELOAD или через файл /etc/ld.so.preload. Библиотеки, указанные в LD_PRELOAD, загружаются и размещаются в памяти функциями dlopen() и mmap() соответственно.

В macOS это работает примерно так же, как в Linux, за исключением того, что динамические библиотеки macOS (dyld) реализованы на более низком уровне. Злоумышленники могут сделать так, чтобы переменная окружения DYLD_INSERT_LIBRARIES указывала на вредоносные библиотеки, которые содержат имена легитимных библиотек или функций, требуемых целевой программой.