Das Threat-Intelligence-Team von Microsoft gab an, eine Gruppe kompromittierter Websites identifiziert zu haben, die ClickFix und TerminalFix einsetzt, um Nutzer zu Angriffen zu verleiten. Dazu wird die EtherHiding-Technologie kombiniert, um die nächste Stufe bösartiger Anweisungen über ein BNB-Smart-Chain-RPC-Gateway abzurufen. Laut der On-Chain-Erkennung von BlockBeats wird der bösartige Inhalt in einem On-Chain-Smart-Contract gespeichert, wodurch er sich nur schwer durch herkömmliche Maßnahmen zur Entfernung oder durch Blockieren beseitigen lässt, da nur der Wallet-Inhaber, der den Contract bereitgestellt hat, ihn ändern kann.

Microsoft erklärte, dass Angreifer CAPTCHA-Verifizierungsseiten fälschen, um Nutzer dazu zu überreden, das Windows-„Ausführen“-Fenster, Terminal oder PowerShell zu öffnen, und anschließend bösartige Befehle einzufügen und auszuführen. Die Angriffe stützen sich außerdem auf Systemtools wie conhost, PowerShell, mshta, rundll32, curl, WMI und WebDAV für Verschleierung sowie für „Living-off-the-land“-Aktivitäten.

Microsoft zufolge sind ClickFix und TerminalFix zu häufigen Methoden für die anfängliche Kompromittierung geworden und betreffen weltweit jeden Tag Tausende von Unternehmens- und persönlichen Geräten. Die Methoden wurden von mehreren Bedrohungsgruppen genutzt, um Malware zu verbreiten, darunter Lumma Stealer, Xworm, AsyncRAT und MintsLoader. Darüber hinaus könnten sie zu Credential-Diebstahl, lateraler Bewegung und Ransomware-Angriffen führen. Microsoft riet Nutzern, keine Befehle in Windows „Ausführen“, Terminal, PowerShell oder der Eingabeaufforderung einzufügen oder auszuführen – insbesondere nicht aufgrund von Aufforderungen (Prompts) aus CAPTCHA-Seiten, Website-Fehlern, E-Mails oder Werbeanzeigen.