LevelBlue SpiderLabs analizza una nuova variante ClickFix (maggio 2026) che usa siti typosquattati imitanti LinkedIn e Indeed, il protocollo Finger e runtime Python portatili per distribuire il framework MaaS CastleLoader e un RAT Python con C2 via WebSocket. Catena d'attacco multi-stadio completamente fileless con cifratura ChaCha20/RC4.
L'articolo ClickFix si mette in cerca di lavoro: falsi annunci LinkedIn e Indeed per distribuire CastleLoader e RAT Python proviene da (in)sicurezza digitale.