DOUBLECUPと呼ばれる新しいロシアのLoader-as-a-Service（LaaS）は、ClickFixの罠を利用してユーザーのブラウザキャッシュに悪意のあるPNG画像を配置し、最終的にCountLoaderとともに、以前に特定されていなかったリモートアクセストロジャンであるDeviceManagerを配布している。第一段階では、ブラウザキャッシュにステガノグラフィックなPNG画像が配置され、隠されたコンテンツが取得され、第二段階が実行される。第二段階では、独自のSHA-256スレッド暗号化とビットワイズXORを使用してメモリ内で最終的なペイロードを復号化し、ユーザーのパブリックIPアドレスが暗号化キーとして使用される。

DOUBLECUPは2026年6月から活動しており、コア開発者はオペレーターにライセンスとクライアントエージェントを提供している。これにより、キャンペーンを作成し、ClickFixの着陸ページに必要なコードを埋め込んでペイロードを配布できる。各ライセンスには、一意のキーとユーザーのIPアドレス、アクティブな日数、タグ、バージョンなどのメタデータが含まれる。複数のキャンペーンが1つのライセンスで管理できる。

DOUBLECUPは、ClickFixの罠を通じて実行されるコマンドがブラウザキャッシュからPNG画像を探し、悪意のあるJavaScript、VBScript、またはPowerShellを抽出するために必要なフロントエンドコードをインジェクトする必要がある。