WordlistLoader en SynkLoader maken misleiding op meerdere plekken mogelijk: ClickFix-achtige CAPTCHA-trucs leveren WordlistLoader, terwijl SynkLoader via Microsoft Teams een nep-lockscreen gebruikt om wachtwoorden te stelen.
ClickFix-aanvallen macOS starten met een geplakte Terminal-opdracht en leveren een Go-based stealer. Naast wachtwoorden en iCloud Keychain kan de malware crypto-wallets geleidelijk leegdraineren.
Bij ClickFix macOS fingerprinting stuurt een server eerst een nep-pagina aan geselecteerde gebruikers. Daardoor blijven onderzoekers en sandbox-omgevingen vaak buiten beeld.
DOUBLECUP ClickFix is een Russische loader-as-a-service die steganografische PNG’s in de browsercache gebruikt om CountLoader en DeviceManager-RAT te leveren. De keten bevat versleuteling, cache-extractie en C2-resolutie via EtherHiding.
