Criminelen maken gebruik van Google-advertenties die zogenaamd van Amazon afkomstig lijken, maar in werkelijkheid naar een ClickFix-aanval leiden. Daarbij gebruiken de aanvallers een speciaal geprepareerd commando waardoor slachtoffers in het Windows Run Dialog alleen maar instructies te zien krijgen, en zo minder snel door hebben dat het om een aanval gaat.

Bij ClickFix-aanvallen worden mensen verleid tot het uitvoeren van malafide commando's op hun systeem, die leiden tot de installatie van malware. Er zijn verschillende varianten van ClickFix-aanvallen, bijvoorbeeld waarbij gebruikers een melding op een gehackte website te zien krijgen dat ze eerst een zogenaamde captcha moeten oplossen. Bij sommige ClickFix-aanvallen wordt het malafide commando al automatisch naar het clipboard van de gebruiker gekopieerd, bij andere aanvallen moet de gebruiker eerst op een knop klikken om het commando te kopiëren.

De ClickFix-aanval waarover cybersecuritybedrijf Huntress bericht begint met een malafide advertentie in de zoekmachine van Google. De advertentie verscheen bij het zoeken op ' Amazon Business' en claimt de officiële website van Amazon te zijn. De advertentie wijst naar een bij Google gehoste website die op de inlogpagina van Amazon lijkt. Wanneer gebruikers hier willen inloggen verschijnt na het invoeren van het e-mailadres of telefoonnummer een zogenaamde captcha-melding.

De melding geeft gebruikers de instructie om het Windows Run Dialog te openen. Vervolgens is het malafide commando dan al naar het clipboard gekopieerd. Daarna wordt de gebruiker geïnstrueerd om in de Run Dialog Ctrl + V te doen, gevolgd door Enter. Normaliter zou het malafide commando in de Run Dialog zichtbaar zijn. De aanvallers hebben hier een oplossing voor gevonden door het commando te eindigen met de tekst 'Push the Enter key'. Alleen dit gedeelte is zichtbaar in de Run Dialog. Via het commando wordt uiteindelijk infostealer-malware geïnstalleerd. Google heeft de advertentie inmiddels verwijderd.