Los delincuentes están utilizando las notificaciones del navegador como vector de ataques de phishing, distribuyendo enlaces maliciosos mediante una nueva plataforma de comando y control (C2) llamada Matrix Push C2.
El mecanismo de notificación web
Los atacantes aprovechan el mecanismo de notificación push web integrado en el navegador para enviar alertas que parecen haber sido enviadas por el sistema operativo o el propio navegador. Estas notificaciones se utilizan para engañar a los usuarios, logrando que permitan notificaciones del navegador mediante ingeniería social en sitios web maliciosos o legítimos pero comprometidos.
Una vez que un usuario acepta recibir notificaciones del sitio, los atacantes envían alertas falsas que imitan mensajes de sistemas confiables. Estos incluyen alertas sobre inicios de sesión sospechosos o actualizaciones del navegador, junto con botones como «Verificar» o «Actualizar», que llevan a la víctima a un sitio falso.
Características y funcionamiento
Esta técnica es inteligente porque todo el proceso se lleva a cabo a través del navegador sin necesidad de infectar primero el sistema de la víctima. Se compara con el ataque ClickFix, ya que los usuarios son atraídos a seguir instrucciones para comprometer sus propios sistemas.
Además, como el ataque se realiza a través del navegador web, también es una amenaza multiplataforma. Esto convierte cualquier aplicación de navegador en cualquier plataforma que se suscriba a notificaciones maliciosas para que se inscriba en el grupo de clientes, brindando a los adversarios un canal de comunicación persistente.
Disponibilidad y modelo de pago
Matrix Push C2 se ofrece como un kit de malware como servicio (MaaS) a otros actores de amenazas. Se vende directamente a través de canales de crimeware, generalmente mediante Telegram y foros de cibercrimen, bajo un modelo de suscripción escalonada: alrededor de $150 por un mes, $405 por tres meses, $765 por seis meses y $1.500 por un año completo.
Los pagos se aceptan en criptomonedas y los compradores se comunican directamente con el operador para obtener acceso. Matrix Push se observó por primera vez a principios de octubre y ha estado activo desde entonces. No hay evidencia de versiones anteriores, marcas anteriores o infraestructura de larga data.
Panel basado en web
Se puede acceder a la herramienta como un panel basado en web, lo que permite a los usuarios enviar notificaciones, rastrear a cada víctima en tiempo real, determinar con qué notificaciones interactuaron las víctimas, crear enlaces acortados utilizando un servicio de acortamiento de URL incorporado e incluso registrar extensiones de navegador instaladas, incluidas carteras de criptomonedas.
Plantillas y personalización
El núcleo del ataque es la ingeniería social. Matrix Push C2 viene cargado con plantillas configurables para maximizar la credibilidad de sus mensajes falsos. Los atacantes pueden personalizar fácilmente sus notificaciones de phishing y sus páginas de destino para hacerse pasar por empresas y servicios conocidos.
Algunas de las plantillas admitidas están asociadas con marcas como MetaMask, Netflix, Cloudflare, PayPal y TikTok. La plataforma también incluye una sección de «Análisis e informes» que permite a sus clientes medir la efectividad de sus campañas.
Objetivo final
Una vez que el punto final de un usuario está bajo este tipo de influencia, el atacante puede intensificar gradualmente el ataque. Podrían enviar mensajes de phishing adicionales para robar credenciales, engañar al usuario para que instale un malware más persistente o incluso aprovechar los exploits del navegador para obtener un control más profundo del sistema.
El objetivo final suele ser robar datos o monetizar el acceso, por ejemplo, vaciando carteras de criptomonedas o filtrando información personal.