Исследователь Берт-Ян Палс проанализировал 3,000 реальных ClickFix-полезных нагрузок и обнаружил: злоумышленники перешли на API-driven доставку вредоносов. Вместо статичных скриптов работают бэкенд-серверы, которые генерируют свежие обфусцированные команды по запросу. Палс запросил 100 полезных нагрузок с одного сервера — все 100 оказались разными, с уникальной комбинацией Base64, AES, TripleDES и Deflate.

Главная находка — новая техника доставки через папку Downloads, специально заточенная под обход AMSI. Вместо вредоносной команды в буфер обмена копируется безобидная строка-оркестратор. Вредоносный архив скачивается в папку Downloads, а затем извлекается и запускается скрытым PowerShell’ем. Такой подход позволяет обойти сканирование AMSI, поскольку вредоносный код не попадает в буфер обмена.