Matrix Push C2

Les acteurs malveillants utilisent de plus en plus les notifications du navigateur comme point d'entrée pour leurs campagnes d'hameçonnage, grâce à un nouveau cadre de commande et de contrôle appelé Matrix Push C2. Cette plateforme repose entièrement sur les fonctionnalités du navigateur, permettant aux attaquants de diffuser des liens malveillants et des alertes trompeuses sans avoir besoin de compromettre préalablement le système.

Comment Matrix Push C2 exploite les failles du navigateur

Matrix Push C2 est un framework natif du navigateur, sans fichier, qui exploite les notifications push intégrées, les messages trompeurs et les mécanismes de redirection. Les victimes sont généralement amenées à autoriser les notifications, souvent par ingénierie sociale sur des sites web malveillants ou compromis. Une fois l'autorisation accordée, les attaquants diffusent des alertes système frauduleuses imitant des marques de confiance et des éléments d'interface familiers.

Ces messages font fréquemment référence à des connexions suspectes, à des mises à jour requises ou à d'autres problèmes de sécurité urgents. Chaque alerte contient un bouton qui redirige l'utilisateur vers une page frauduleuse conçue pour collecter des données ou poursuivre l'attaque.

L'intégralité de cette opération se déroule au sein du navigateur, ce qui lui permet de contourner efficacement les contrôles de sécurité traditionnels. Cette approche s'apparente aux attaques de type « ClickFix », où les utilisateurs sont incités à compromettre leur propre sécurité. Puisqu'elle s'exécute via le navigateur, la menace s'étend à de multiples plateformes et appareils, transformant tout navigateur abonné en un client de communication persistant pour les attaquants.

Une plateforme d’attaque commercialisée

Matrix Push C2 est commercialisé comme un logiciel malveillant à la demande (malware-as-a-service), et sa publicité se fait via des réseaux criminels tels que les groupes Telegram et les forums de cybercriminalité. Le service est proposé par abonnement.

• 150 $ pour un mois
• 405 $ pour trois mois
• 765 $ pour six mois
• 1 500 $ pour un an

Les paiements en cryptomonnaie seraient acceptés et les acheteurs communiqueraient directement avec l'opérateur. Aperçu pour la première fois début octobre, le dispositif ne présente aucune trace de versions précédentes, ce qui laisse penser qu'il s'agit d'un service récemment lancé.

Fonctionnalités du tableau de bord et suivi des cibles

Les abonnés accèdent à Matrix Push C2 via un tableau de bord web qui leur permet de gérer l'intégralité du flux de travail de leurs campagnes. Fonctionnalités :

• Suivi des victimes en temps réel

• Envoi de notifications push personnalisées

• Surveillance des interactions de notification

• Raccourcissement d'URL intégré pour des liens de phishing simplifiés

• Enregistrement des extensions de navigateur installées, y compris les portefeuilles de cryptomonnaies

Les attaquants peuvent personnaliser les messages d'hameçonnage et les pages de destination falsifiées pour usurper l'identité de marques connues. Des modèles faisant référence à des services tels que MetaMask, Netflix, Cloudflare, PayPal et TikTok sont facilement accessibles. Une section d'analyse permet aux opérateurs de mesurer les performances des campagnes et d'optimiser leurs tactiques.

Pourquoi cette approche est si efficace

Matrix Push C2 représente un changement notable dans la manière dont les adversaires sécurisent l'accès initial. En s'appuyant sur des fonctionnalités de navigateur fiables, les attaquants réduisent le besoin d'exploits ou de logiciels malveillants lors des premières phases de leur intrusion. Une fois qu'ils ont pris le contrôle du navigateur de l'utilisateur, ils peuvent intensifier leur opération de plusieurs manières :

• Envoi de messages d'hameçonnage supplémentaires pour voler les identifiants de compte
• Manipuler la victime pour qu'elle installe un logiciel malveillant à long terme
• Exploiter les vulnérabilités du navigateur pour approfondir l'accès au système

Les objectifs finaux varient, mais impliquent souvent la monétisation ou le vol de données, comme vider des portefeuilles de cryptomonnaies ou extraire des informations personnelles sensibles.

Une menace croissante multiplateforme

Comme le démontre Matrix Push C2, les notifications de navigateur sont devenues un outil puissant pour diffuser des alertes convaincantes, semblables à celles des systèmes, incitant les utilisateurs à compromettre leur propre environnement. Cette méthode, indépendante de toute plateforme et difficile à détecter précocement par les systèmes de défense traditionnels, représente une préoccupation croissante pour les particuliers comme pour les organisations. La vigilance et l'examen attentif des autorisations de notification sont désormais plus essentiels que jamais.