Tim intelijen ancaman Microsoft mengatakan telah mengidentifikasi sekelompok situs web yang telah dikompromikan menggunakan ClickFix dan TerminalFix untuk menipu pengguna agar melakukan serangan, dikombinasikan dengan teknologi EtherHiding untuk mengambil tahap berikutnya dari instruksi berbahaya melalui gateway RPC BNB Smart Chain. Menurut Deteksi On-chain BlockBeats, konten berbahaya disimpan dalam kontrak pintar di blockchain, sehingga sulit untuk dihapus melalui metode penurunan atau pemblokiran tradisional karena hanya pemilik wallet yang menerapkan kontrak tersebut yang dapat mengubahnya.

Microsoft mengatakan penyerang memalsukan halaman verifikasi CAPTCHA untuk membujuk pengguna agar membuka jendela Windows Run, Terminal, atau PowerShell, lalu menempelkan dan menjalankan perintah berbahaya. Serangan ini juga mengandalkan alat sistem seperti conhost, PowerShell, mshta, rundll32, curl, WMI, dan WebDAV untuk tujuan pengaburan (obfuscation) dan aktivitas living-off-the-land.

Microsoft mengatakan ClickFix dan TerminalFix telah menjadi metode awal penyusupan yang semakin sering, yang memengaruhi ribuan perangkat perusahaan dan pribadi di seluruh dunia setiap hari. Metode ini telah digunakan oleh beberapa kelompok ancaman untuk mendistribusikan malware termasuk Lumma Stealer, Xworm, AsyncRAT, dan MintsLoader, serta dapat berujung pada pencurian kredensial, pergerakan lateral, dan serangan ransomware. Microsoft menyarankan pengguna untuk tidak menempelkan atau menjalankan perintah apa pun di Windows Run, Terminal, PowerShell, atau Command Prompt berdasarkan permintaan dari halaman CAPTCHA, kesalahan situs web, email, atau iklan.