Nicht so leicht.

Man müsste erst warten, bis das Opfer ein Program runterlädt. Und
dann muss für genau dieses Programm der Hack bereitstehen.

Ich dachte daher zuerst an den Windows Update, der ist vorhersehbar.
Dafür aber AFAIK durch Zertifikate geschützt.

Da man davon ausgehen kann, dass vor einer Online-Durchsuchung die
E-Mail mitgelesen wird, kommt auch noch Social Engineering in Frage.