Matrice Push C2

Gli autori delle minacce stanno sempre più sfruttando le notifiche del browser come punto di ingresso per campagne di phishing, utilizzando un framework di comando e controllo di recente sviluppo noto come Matrix Push C2. Questa piattaforma si basa interamente su funzionalità a livello di browser, consentendo agli aggressori di inviare link dannosi e avvisi ingannevoli senza richiedere una precedente compromissione del sistema.

Come Matrix Push C2 sfrutta il browser

Matrix Push C2 è un framework nativo del browser, privo di file, che sfrutta in modo improprio le notifiche push integrate, i prompt fuorvianti e i meccanismi di reindirizzamento. Le vittime vengono in genere convinte, spesso tramite tecniche di ingegneria sociale su siti web dannosi o compromessi, ad autorizzare le notifiche. Una volta concessa l'autorizzazione, gli aggressori iniziano a inviare avvisi di sistema fraudolenti che imitano marchi affidabili ed elementi di interfaccia familiari.

Questi messaggi fanno spesso riferimento ad accessi sospetti, aggiornamenti richiesti o altre urgenti questioni di sicurezza. Ogni avviso include un pratico pulsante che indirizza l'utente a una pagina fraudolenta progettata per raccogliere dati o promuovere l'attacco.

L'intera operazione si svolge all'interno del browser, rendendola efficace nell'aggirare i controlli di sicurezza tradizionali. L'approccio ricorda gli attacchi in stile "ClickFix", in cui gli utenti vengono manipolati per compromettere la propria sicurezza. Poiché si svolge attraverso il browser, la minaccia si estende a più piattaforme e dispositivi, trasformando qualsiasi browser abbonato in un client di comunicazione persistente per gli aggressori.

Una piattaforma di attacco commercializzata

Matrix Push C2 viene commercializzato come pacchetto malware-as-a-service, pubblicizzato attraverso canali criminali come gruppi Telegram e forum dedicati alla criminalità informatica. Il servizio è venduto tramite abbonamento:

• $ 150 per un mese
• $405 per tre mesi
• $765 per sei mesi
• $ 1.500 per un anno

A quanto pare, i pagamenti in criptovaluta sono accettati e gli acquirenti comunicano direttamente con l'operatore. Apparso per la prima volta all'inizio di ottobre, il kit non mostra segni di precedenti versioni, il che suggerisce che si tratti di un servizio appena lanciato.

Funzionalità della dashboard e monitoraggio degli obiettivi

Gli abbonati accedono a Matrix Push C2 tramite una dashboard basata sul web che consente loro di gestire l'intero flusso di lavoro delle loro campagne. Le funzionalità includono:

• Monitoraggio delle vittime in tempo reale

Gli aggressori possono personalizzare i messaggi di phishing e falsificare le landing page per impersonare marchi noti. Sono facilmente disponibili modelli che fanno riferimento a servizi come MetaMask, Netflix, Cloudflare, PayPal e TikTok. Una sezione di analisi aiuta gli operatori a misurare le prestazioni delle campagne e ad affinare le loro tattiche.

Perché questo approccio è così efficace

Matrix Push C2 rappresenta un cambiamento significativo nel modo in cui gli aggressori proteggono l'accesso iniziale. Affidandosi a funzionalità browser affidabili, gli aggressori riducono la necessità di exploit o malware nelle fasi iniziali dell'intrusione. Una volta stabilita l'influenza sul browser dell'utente, possono intensificare le loro operazioni in diversi modi:

• Fornire ulteriori richieste di phishing per rubare le credenziali dell'account
• Manipolare la vittima per indurla a installare malware a lungo termine
• Sfruttare le vulnerabilità del browser per approfondire l'accesso al sistema

Gli obiettivi finali variano, ma spesso comportano la monetizzazione o il furto di dati, come lo svuotamento dei portafogli di criptovalute o l'estrazione di informazioni personali sensibili.

Una minaccia multipiattaforma in crescita

Come dimostra Matrix Push C2, le notifiche del browser sono diventate un potente strumento per inviare avvisi convincenti e simili a quelli di sistema, inducendo gli utenti a compromettere i propri ambienti. Poiché il metodo è indipendente dalla piattaforma e difficile da rilevare in fase iniziale per le difese tradizionali, rappresenta una preoccupazione crescente sia per gli individui che per le organizzazioni. La vigilanza e l'attento controllo delle autorizzazioni di notifica sono ora più importanti che mai.