Matrix Push C2
Los actores de amenazas utilizan cada vez más las notificaciones del navegador como punto de entrada para campañas de phishing, utilizando un nuevo marco de comando y control conocido como Matrix Push C2. Esta plataforma se basa completamente en funciones a nivel de navegador, lo que permite a los atacantes enviar enlaces maliciosos y alertas engañosas sin necesidad de comprometer previamente el sistema.
Tabla de contenido
Cómo Matrix Push C2 explota el navegador
Matrix Push C2 es un framework nativo del navegador y sin archivos que aprovecha las notificaciones push integradas, los mensajes engañosos y los mecanismos de redirección. Normalmente, se convence a las víctimas, a menudo mediante ingeniería social en sitios web maliciosos o comprometidos, para que permitan las notificaciones. Una vez otorgado el permiso, los atacantes comienzan a enviar alertas fraudulentas del sistema que imitan marcas de confianza y elementos de interfaz conocidos.
Estos mensajes suelen hacer referencia a inicios de sesión sospechosos, actualizaciones requeridas u otros asuntos de seguridad urgentes. Cada alerta incluye un botón que dirige al usuario a una página fraudulenta diseñada para recopilar datos o promover el ataque.
Toda esta operación se desarrolla dentro del navegador, lo que la hace eficaz para eludir los controles de seguridad tradicionales. El enfoque se asemeja a los ataques tipo "ClickFix", en los que se manipula a los usuarios para que socaven su propia seguridad. Al ejecutarse a través del navegador, la amenaza se extiende a múltiples plataformas y dispositivos, transformando cualquier navegador suscrito en un cliente de comunicación persistente para los atacantes.
Una plataforma de ataque comercializada
Matrix Push C2 se comercializa como un paquete de malware como servicio, publicitado a través de canales delictivos como grupos de Telegram y foros de ciberdelincuencia. El servicio se vende mediante niveles de suscripción:
- $150 por un mes
- $405 por tres meses
- $765 por seis meses
- $1,500 por un año
Según informes, se aceptan pagos con criptomonedas y los compradores se comunican directamente con el operador. Visto por primera vez a principios de octubre, el kit no muestra indicios de versiones anteriores, lo que sugiere que se trata de un servicio recién lanzado.
Capacidades del panel de control y seguimiento de objetivos
Los suscriptores acceden a Matrix Push C2 a través de un panel web que les permite gestionar todo el flujo de trabajo de sus campañas. Sus funciones incluyen:
- Seguimiento de víctimas en tiempo real
- Entrega de notificaciones push personalizadas
- Monitoreo de interacciones de notificaciones
- Acortamiento de URL integrado para enlaces de phishing optimizados
- Registro de extensiones de navegador instaladas, incluidas las billeteras de criptomonedas
Los atacantes pueden personalizar mensajes de phishing y páginas de destino para suplantar la identidad de marcas conocidas. Hay plantillas disponibles que hacen referencia a servicios como MetaMask, Netflix, Cloudflare, PayPal y TikTok. Una sección de análisis ayuda a los operadores a medir el rendimiento de las campañas y a perfeccionar sus tácticas.
Por qué este enfoque es tan eficaz
Matrix Push C2 representa un cambio notable en la forma en que los adversarios protegen el acceso inicial. Al confiar en las funciones confiables del navegador, los atacantes reducen la necesidad de exploits o malware durante las primeras etapas de su intrusión. Una vez que logran controlar el navegador del usuario, pueden escalar su operación de varias maneras:
- Entrega de más mensajes de phishing para robar credenciales de cuenta
- Manipular a la víctima para que instale malware a largo plazo
- Aprovechar las vulnerabilidades del navegador para profundizar el acceso al sistema
Los objetivos finales varían, pero a menudo implican la monetización o el robo de datos, como vaciar billeteras de criptomonedas o extraer información personal confidencial.
Una creciente amenaza multiplataforma
Como demuestra Matrix Push C2, las notificaciones del navegador se han convertido en una herramienta poderosa para enviar alertas convincentes, similares a las del sistema, que manipulan a los usuarios para que comprometan sus propios entornos. Dado que el método es independiente de la plataforma y difícil de detectar en una etapa temprana para las defensas tradicionales, representa una preocupación creciente tanto para individuos como para organizaciones. La vigilancia y el escrutinio minucioso de los permisos de notificación son ahora más cruciales que nunca.
