При открытии документа запускаются файлы riched20.dll и msi.dll из расоложения документа.
vulners.com/securityvulns/securityvulns:doc:694