Los hackers atacan PayPal, Netflix y TikTok con un nuevo estafa de phishing

Los usuarios de PayPal, Netflix y TikTok se han convertido en un nuevo objetivo de phishing para los hackers que utilizan una nueva herramienta llamada Matrix Push C2.

Según los informes, la herramienta es accesible como un panel de control basado en la web. Esto permite a los hackers enviar notificaciones, rastrear a cada víctima en tiempo real, determinar con qué notificaciones interactuaron las víctimas y crear enlaces acortados utilizando un servicio integrado de acortamiento de URL. Además, rastrean las extensiones del navegador instaladas, incluidas las billeteras de criptomonedas.

En un informe, la investigadora de Blackfog, Brenda Robb, dijo: “El núcleo del ataque es la ingeniería social, y Matrix Push C2 viene cargado con plantillas configurables para maximizar la credibilidad de sus mensajes falsos […] Los atacantes pueden personalizar fácilmente sus notificaciones de phishing y páginas de destino para hacerse pasar por empresas y servicios conocidos.”

Otras marcas bien conocidas que admiten plantillas de verificación de notificaciones son MetaMask y Cloudflare. La plataforma también incluye una sección de “Análisis e Informes” que permite a sus clientes medir la efectividad de sus campañas y refinarlas según sea necesario.

El ataque se desarrolla a través del navegador web como una amenaza multiplataforma

Cuando el estafador logra que la víctima información las notificaciones del sitio, los atacantes aprovechan el mecanismo de notificación push web integrado en el navegador web. Lo utilizan para enviar alertas que parecen haber sido enviadas por el sistema operativo o por el propio navegador. Esto aprovecha el branding de confianza, logotipos familiares y un lenguaje convincente para mantener la farsa.

Estas incluyen alertas sobre, por ejemplo, inicios de sesión sospechosos o actualizaciones del navegador, junto con un práctico botón “Verificar” o “Actualizar” que, al hacer clic, lleva a la víctima a un sitio falso.

Con este ataque, todo el proceso tiene lugar a través del navegador sin necesidad de infectar primero el sistema de la víctima por otros medios. De alguna manera, el ataque es similar a ClickFix en que los usuarios son atraídos para seguir instrucciones específicas que comprometen sus propios sistemas, eludiendo así los controles de seguridad tradicionales.

Además, dado que el ataque ocurre a través del navegador web, también es una amenaza multiplataforma. Esto convierte efectivamente en una amenaza multiplataforma cualquier aplicación de navegador en cualquier plataforma que se suscriba a las notificaciones maliciosas en un cliente enlistado en el grupo de clientes, brindando a los adversarios un canal de comunicación persistente.

Matrix Push se observó por primera vez a principios de octubre y ha estado activo desde entonces. Sin embargo, no hay evidencia de versiones anteriores, branding anterior o infraestructura de larga data. Todo indica que este es un kit recién lanzado.

Telegram entra en juego en el negocio de los estafadores

Matrix Push C2 se vende como un kit de malware como servicio (MaaS) a otros actores de amenazas. Se vende directamente a través de canales de crimeware, principalmente en Telegram y foros de cibercrimen. Hay diferentes niveles de suscripción: aproximadamente $150 por mes, $405 por tres meses, $765 por seis meses y $1,500 por un año completo.

Además, según el Dr. Darren Williams, fundador y CEO de BlackFog,  “Se aceptan pagos en criptomonedas y los compradores se comunican directamente con el operador para obtener acceso.” Incluso Europol advirtió que el uso de activos criptográficos para actividades criminales se ha vuelto más sofisticado.

El fundador de Telegram, Pavel Durov, ha sido declarado personalmente responsable de algunas de las actividades ilícitas en la plataforma de mensajería. Durov fue arrestado inicialmente en París como parte de una investigación formal por presunta participación en actividades criminales en Telegram.

Los investigadores franceses acusan a la empresa de ser utilizada para comercio ilegal, material de abuso sexual infantil y otros intercambios ilícitos, y de no cooperar con las solicitudes de las fuerzas del orden. Telegram continúa demostrándose como un mercado para criminales.

Cryptopolitan informó que Francia revocó la prohibición de viaje a Pavel Durov para que ahora pueda viajar libremente. Sin embargo, una investigación penal sobre su plataforma de mensajería continúa.

Recientemente, X  descubrió y desmanteló una red de sobornos dirigida por usuarios suspendidos y estafadores de criptomonedas que supuestamente pagaron a “intermediarios” para sobornar a empleados a cambio de la reinstauración de cuentas.