Gli attori maligni stanno sfruttando le notifiche del browser come vettore per attacchi di phishing, distribuendo link malevoli attraverso una nuova piattaforma di comando e controllo (C2) chiamata Matrix Push C2.
Questa piattaforma fileless nativa del browser sfrutta notifiche push, falsi avvisi e redirezioni di link per colpire vittime su più sistemi operativi, ha dichiarato la ricercatrice Brenda Robb di Blackfog in un rapporto pubblicato giovedì.
Gli attacchi ingannano gli utenti inducendoli ad autorizzare le notifiche del browser tramite ingegneria sociale su siti web dannosi o compromessi. Una volta che l’utente accetta, gli aggressori sfruttano il meccanismo delle notifiche push integrate nel browser per inviare avvisi che sembrano provenire dal sistema operativo o dal browser stesso, usando marchi affidabili, loghi familiari e un linguaggio convincente per mantenere l’inganno.
Tra gli avvisi falsi ci sono notifiche su accessi sospetti o aggiornamenti del browser, con pulsanti “Verifica” o “Aggiorna” che, una volta cliccati, portano la vittima su siti fasulli.
La tecnica è particolarmente ingegnosa perché l’intero attacco avviene tramite il browser, senza necessità di infettare prima il sistema con altri metodi. In questo modo, si eludono i tradizionali controlli di sicurezza. Inoltre, dato che l’attacco agisce tramite browser, è una minaccia cross-platform, potenzialmente attiva su qualsiasi dispositivo che usa il browser e acconsente alle notifiche malevole, fornendo ai criminali un canale di comunicazione persistente.
Matrix Push C2 è offerto come servizio malware-as-a-service (MaaS) e venduto tramite canali criminali, tipicamente su Telegram e forum cybercriminali, con un modello di abbonamento a più livelli che va da circa 150 dollari per un mese fino a 1.500 dollari per un anno.
Il pagamento avviene in criptovalute, e gli acquirenti comunicano direttamente con l’operatore per accedere al servizio. Matrix Push è stato osservato dalla prima settimana di ottobre e risulta un kit di recente lancio senza versioni precedenti o infrastrutture datate.
La piattaforma è accessibile tramite un cruscotto web che permette di inviare notifiche, monitorare in tempo reale le vittime, comprendere quali notifiche sono state cliccate, creare link abbreviati e anche registrare estensioni del browser installate, inclusi wallet di criptovalute.
Il cuore dell’attacco è l’ingegneria sociale, e Matrix Push C2 è dotato di template configurabili per massimizzare la credibilità dei messaggi falsi. Gli attaccanti possono personalizzare le notifiche e le pagine di phishing per impersonare brand famosi come MetaMask, Netflix, Cloudflare, PayPal e TikTok. Il sistema include anche una sezione di analitica per valutare l’efficacia delle campagne.
Blackfog ha sottolineato che questo strumento rappresenta un cambiamento nel modo in cui gli aggressori ottengono accesso iniziale e sfruttano gli utenti. Una volta che il dispositivo della vittima è sotto controllo, l’attaccante può inviare ulteriori messaggi phishing per rubare credenziali, indurre l’installazione di malware persistente, o sfruttare exploit del browser per avere un controllo più profondo.
L’obiettivo finale è spesso il furto di dati o la monetizzazione dell’accesso, ad esempio svuotando wallet di criptovalute o esfiltrando informazioni personali.
Crescono gli Attacchi con Velociraptor
Parallelamente, il fornitore di sicurezza Huntress ha osservato un aumento significativo negli attacchi che utilizzano Velociraptor, un tool legittimo di forensic e risposta agli incidenti.
Il 12 novembre 2025, Huntress ha riferito che gli aggressori hanno usato Velociraptor dopo aver ottenuto un accesso iniziale sfruttando una vulnerabilità in Windows Server Update Services (CVE-2025-59287, punteggio CVSS 9.8), già corretta da Microsoft a fine ottobre.
Gli aggressori hanno condotto operazioni di ricognizione per raccogliere informazioni su utenti, servizi e configurazioni, ma l’attacco è stato contenuto prima di causare ulteriori danni.
Questo caso mostra come i criminali informatici non si limitino a usare framework C2 personalizzati, ma sfruttino anche strumenti legittimi di cybersecurity a scopi offensivi.
Gli esperti sottolineano che Velociraptor non sarà né il primo né l’ultimo tool open-source dual-use a essere impiegato in attacchi.
Questo articolo evidenzia quindi una nuova tendenza negli attacchi informatici basati su tecniche di social engineering via browser e sull’uso di strumenti legittimi a fini malevoli, con impatti potenzialmente molto ampi e cross-platform.
Fonte (https://thehackernews.com/2025/11/matrix-push-c2-uses-browser.html)
