COM-hijack действительно крутая штука — тихо и незаметно, особенно в юзершеллах без админских прав. Главное, как писал barscot, DLL не должна ронять хост-процесс, иначе будет лажа. В корпоративке я замечал, что SCCM и Crowdstike сильно режут список CLSID, но Explorer все равно постоянно вызывает пару-тройку «уязвимых» объектов. Поэтому лучше брать COM-hijack в связке с какими-нибудь WMI подписками или задачами, чтоб не сидеть на одном методе.