マイクロソフトの脅威インテリジェンスチームは、ClickFixおよびTerminalFixを使用してユーザーを攻撃へ誘導する一連の侵害済みWebサイトのグループを特定したと述べました。さらに、EtherHiding技術を組み合わせることで、BNBスマートチェーンのRPCゲートウェイを通じて悪意のある指示の次の段階を取得します。BlockBeatsのオンチェーン検知によると、悪意のあるコンテンツはオンチェーンのスマートコントラクトに保存されているため、伝統的なテイクダウンやブロッキング手法では削除しにくくなっています。これは、コントラクトをデプロイしたウォレット所有者のみがそれを変更できるためです。

Microsoft は、攻撃者が CAPTCHA の検証ページを偽造して、ユーザーに Windows の「ファイル名を指定して実行」ウィンドウ、Terminal、または PowerShell を開かせ、次に悪意のあるコマンドを貼り付けて実行させると述べました。これらの攻撃は、難読化および「正規ツールを悪用する（living-off-the-land）」活動のために、conhost、PowerShell、mshta、rundll32、curl、WMI、WebDAV などのシステム ツールにも依存しています。

Microsoft は、ClickFix と TerminalFix が、世界中で毎日数千もの企業および個人の端末に影響を与える頻繁な初期侵入手法になっていると述べました。これらの手法は、Lumma Stealer、Xworm、AsyncRAT、MintsLoader などのマルウェアを配布するために複数の脅威グループによって使用されており、さらに資格情報の窃取、横展開（ラテラルムーブメント）、ランサムウェア攻撃につながる可能性があります。Microsoft は、CAPTCHA ページ、Web サイトのエラー、メール、広告などのプロンプトに基づいて、Windows の「ファイル名を指定して実行」、Terminal、PowerShell、またはコマンド プロンプトにコマンドを貼り付けたり実行したりしないようユーザーに注意喚起しました。