Hành vi: Win32/ClickFix không phải là phần mềm độc hại truyền thống, mà là tên gọi dùng để chỉ một kỹ thuật xã hội tinh vi nhằm lừa nạn nhân tự nguyện khởi động chuỗi nhiễm trùng thông qua thao túng. Cuộc tấn công xuất hiện dưới dạng thông báo lỗi giả, CAPTCHA hoặc cảnh báo bảo mật khẩn cấp giả mạo. Nạn nhân truy cập các trang web có uy tín thấp hoặc độc hại, trước khi nhận được cảnh báo pop-up. Nền tảng của kỹ thuật này dựa trên chiến thuật xã hội kết hợp với việc chiếm quyền kiểm soát clipboard để đặt một lệnh độc hại vào clipboard của nạn nhân, sau đó người dùng được hướng dẫn mở hộp thoại Run của Windows (Win + R) để dán (Ctrl + V) và chạy lệnh. Lệnh này sử dụng các binary sống sót trên hệ thống (LOLBins) như mshta.exe, PowerShell, curl.exe, v.v. để phân phối và kích hoạt tải trọng cuối cùng.