Le comportement Win32/ClickFix n'est pas un malware classique, mais un nom donné à une technique sophistiquée d'ingénierie sociale visant à tromper les cibles afin qu'elles déclenchent volontairement une chaîne d'infection par manipulation. L'attaque se présente sous la forme d'un message d'erreur falsifié, d'un CAPTCHA ou d'un avertissement de sécurité urgent factice. Les cibles naviguent sur des sites web à faible réputation ou malveillants, avant de recevoir des alertes contextuelles. La base de cette technique repose sur une tactique d'ingénierie sociale combinée à un détournement du presse-papiers pour y placer une commande malveillante ; l'utilisateur est ensuite invité à ouvrir la boîte de dialogue Windows Exécuter (Win + R), à coller (Ctrl + V) et à exécuter une commande. Cette commande utilise des binaires « living-off-the-land » (LOLBins) tels que mshta.exe, PowerShell, curl.exe, etc., pour délivrer et lancer les charges finales.