Matrix Push C2

Aktorzy zagrożeń coraz częściej wykorzystują powiadomienia przeglądarek jako punkt wejścia dla kampanii phishingowych, wykorzystując nowo powstający framework Command-and-Control znany jako Matrix Push C2. Platforma ta opiera się wyłącznie na funkcjach na poziomie przeglądarki, umożliwiając atakującym dostarczanie złośliwych linków i oszukańczych alertów bez konieczności wcześniejszego włamania się do systemu.

Jak Matrix Push C2 wykorzystuje luki w zabezpieczeniach przeglądarki

Matrix Push C2 to bezplikowy, natywny dla przeglądarki framework, który wykorzystuje wbudowane powiadomienia push, wprowadzające w błąd monity i mechanizmy przekierowań. Ofiary są zazwyczaj nakłaniane, często za pomocą socjotechniki na złośliwych lub zainfekowanych stronach internetowych, do zezwolenia na powiadomienia. Po udzieleniu zgody atakujący zaczynają wysyłać fałszywe alerty systemowe, które imitują zaufane marki i znane elementy interfejsu.

Wiadomości te często odnoszą się do podejrzanych logowań, wymaganych aktualizacji lub innych pilnych kwestii bezpieczeństwa. Każdy alert zawiera wygodny przycisk, który prowadzi użytkownika do fałszywej strony, mającej na celu zbieranie danych lub przeprowadzenie ataku.

Cała ta operacja odbywa się wewnątrz przeglądarki, co czyni ją skuteczną w omijaniu tradycyjnych zabezpieczeń. Podejście to przypomina ataki w stylu „ClickFix”, w których użytkownicy są manipulowani, aby podważać własne zabezpieczenia. Ponieważ atak odbywa się za pośrednictwem przeglądarki, zagrożenie obejmuje wiele platform i urządzeń, przekształcając każdą subskrybowaną przeglądarkę w stałego klienta komunikacji dla atakujących.

Skomercjalizowana platforma ataków

Matrix Push C2 jest promowany jako pakiet oprogramowania typu malware-as-a-service, reklamowany za pośrednictwem kanałów przestępczych, takich jak grupy Telegram i fora poświęcone cyberprzestępczości. Usługa jest sprzedawana w ramach subskrypcji:

• 150 dolarów za miesiąc
• 405 dolarów za trzy miesiące
• 765 dolarów za sześć miesięcy
• 1500 dolarów za rok

Płatności kryptowalutowe są podobno akceptowane, a kupujący komunikują się bezpośrednio z operatorem. Zestaw, zaprezentowany po raz pierwszy na początku października, nie wykazuje oznak wcześniejszych iteracji, co sugeruje, że jest to nowa usługa.

Możliwości pulpitu nawigacyjnego i śledzenie celów

Subskrybenci uzyskują dostęp do Matrix Push C2 za pośrednictwem internetowego panelu, który pozwala im zarządzać całym procesem kampanii. Funkcje obejmują:

• Śledzenie ofiar w czasie rzeczywistym

Atakujący mogą tematyzować wiadomości phishingowe i podszywać się pod znane marki, tworząc fałszywe landing page'e. Szablony odwołujące się do serwisów takich jak MetaMask, Netflix, Cloudflare, PayPal i TikTok są łatwo dostępne. Sekcja analityczna pomaga operatorom mierzyć skuteczność kampanii i dopracowywać taktykę.

Dlaczego to podejście jest tak skuteczne

Matrix Push C2 stanowi znaczącą zmianę w sposobie, w jaki atakujący zabezpieczają początkowy dostęp. Opierając się na zaufanych funkcjach przeglądarki, atakujący zmniejszają potrzebę stosowania exploitów lub złośliwego oprogramowania na wczesnych etapach włamania. Po uzyskaniu kontroli nad przeglądarką użytkownika, mogą eskalować swoje działania na kilka sposobów:

• Dostarczanie kolejnych wiadomości phishingowych w celu kradzieży danych uwierzytelniających konta
• Manipulowanie ofiarą w celu zainstalowania długotrwałego złośliwego oprogramowania
• Wykorzystanie luk w zabezpieczeniach przeglądarki w celu pogłębienia dostępu do systemu

Cele końcowe są różne, ale często obejmują monetyzację lub kradzież danych, na przykład opróżnianie portfeli kryptowalutowych lub wydobywanie poufnych danych osobowych.

Rosnące zagrożenie międzyplatformowe

Jak pokazuje Matrix Push C2, powiadomienia w przeglądarce stały się potężnym narzędziem do wysyłania przekonujących alertów systemowych, które manipulują użytkownikami, nakłaniając ich do naruszenia bezpieczeństwa ich własnych środowisk. Ponieważ metoda ta jest niezależna od platformy i trudna do wykrycia na wczesnym etapie przez tradycyjne mechanizmy obronne, budzi coraz większe obawy zarówno dla użytkowników indywidualnych, jak i organizacji. Czujność i skrupulatna kontrola uprawnień do powiadomień są teraz ważniejsze niż kiedykolwiek.