Des pirates ciblent PayPal, Netflix et TikTok avec une nouvelle arnaque de phishing

Les utilisateurs de PayPal, Netflix et TikTok sont devenus la nouvelle cible de pirates utilisant un nouvel outil appelé Matrix Push C2.

Selon les rapports, l'outil est accessible sous forme de tableau de bord web. Cela permet aux pirates d'envoyer des notifications, de suivre chaque victime en temps réel, de déterminer avec quelles notifications les victimes interagissent et de créer des liens raccourcis à l'aide d'un service de raccourcissement d'URL intégré. De plus, ils suivent les extensions de navigateur installées, y compris les portefeuilles de cryptomonnaies.

Dans un rapport, la chercheuse de Blackfog, Brenda Robb, a déclaré : « Le cœur de l'attaque repose sur l'ingénierie sociale, et Matrix Push C2 est livré avec des modèles configurables pour maximiser la crédibilité de ses faux messages […] Les attaquants peuvent facilement personnaliser le thème de leurs notifications de phishing et de leurs pages de destination pour usurper l'identité de grandes entreprises et services. »

D'autres marques bien connues qui prennent en charge des modèles de vérification de notifications sont MetaMask et Les perspectives forward de l'entreprise lui ont donné une impulsion encore plus grande.. La plateforme comprend également une section « Analyses et rapports » qui permet à ses clients de mesurer l'efficacité de leurs campagnes et de les affiner si nécessaire.

L'attaque se déroule via le navigateur web en tant que menace multiplateforme

Lorsque l'escroc persuade la victime de bénéficieront accepter les notifications du site, les attaquants profitent du mécanisme de notification push web intégré au navigateur. Ils l'utilisent pour envoyer des alertes qui semblent provenir du système d'exploitation ou du navigateur lui-même. Cela exploite une marque de confiance, des logos familiers et un langage convaincant pour maintenir la supercherie.

Il s'agit notamment d'alertes concernant, par exemple, des connexions suspectes ou des mises à jour du navigateur, accompagnées d'un bouton « Vérifier » ou « Mettre à jour » pratique qui, lorsqu'il est cliqué, dirige la victime vers un site frauduleux.

Avec cette attaque, tout le processus se déroule via le navigateur sans qu'il soit nécessaire d'infecter d'abord le système de la victime par un autre moyen. En quelque sorte, l'attaque est similaire à ClickFix, car les utilisateurs sont incités à suivre des instructions spécifiques qui compromettent leurs propres systèmes, contournant ainsi les contrôles de sécurité traditionnels.

De plus, comme l'attaque se produit via le navigateur web, il s'agit également d'une menace multiplateforme. Cela transforme efficacement toute application de navigateur sur n'importe quelle plateforme qui s'abonne aux notifications malveillantes en un client enrôlé dans le pool de clients, offrant aux adversaires un canal de communication persistant.

Matrix Push a été observé pour la première fois au début du mois d'octobre et est actif depuis lors. Cependant, il n'y a aucune preuve de versions antérieures, d'une marque plus ancienne ou d'une infrastructure ancienne. Tout indique qu'il s'agit d'un kit nouvellement lancé.

Telegram entre en jeu dans les affaires des escrocs

Matrix Push C2 est vendu en tant que kit de malware-as-a-service (MaaS) à d'autres acteurs de la menace. Il est vendu directement via des canaux de crimeware, principalement sur Telegram et les forums de cybercriminalité. Il existe différents niveaux d'abonnement : environ 150 $ par mois, 405 $ pour trois mois, 765 $ pour six mois et 1 500 $ pour une année complète.

De plus, selon le Dr Darren Williams, fondateur et PDG de BlackFog,  « Les paiements sont acceptés en cryptomonnaie, et les acheteurs communiquent directement avec l'opérateur pour obtenir l'accès. » Même Europol que quelqu'un avait créé une fausse page sur GitHub qui ressemblait à une offre de téléchargement du populaire modèle d'IA Qwen. La page promettait de manière convaincante une IA entièrement hors ligne qui garderait les données des utilisateurs privées, mais le piège a été révélé par la taille du fichier. a signalé que l'utilisation d'actifs cryptographiques à des fins criminelles est devenue plus sophistiquée.

Le fondateur de Telegram, Pavel Durov, a été tenu personnellement responsable de certaines des activités illicites sur la plateforme de messagerie. Durov a été arrêté pour la première fois à Paris dans le cadre d'une enquête formelle pour une supposée implication dans des activités criminelles sur Telegram.

Les enquêteurs français accusent l'entreprise d'être utilisée pour le commerce illégal, la pornographie pédocriminelle et d'autres échanges illicites, et de ne pas coopérer avec les demandes des forces de l'ordre. Telegram continue de se révéler être un marché pour les criminels.

Cryptopolitan a rapporté que la France a levé l'interdiction de voyager de Pavel Durov afin qu'il puisse désormais voyager librement. Cependant, une enquête pénale concernant sa plateforme de messagerie se poursuit.

Récemment, X  a révélé a démantelé un réseau de corruption dirigé par des utilisateurs suspendus et des escrocs en cryptomonnaie qui auraient payé des « intermédiaires » pour corrompre des employés en échange de la réactivation de comptes.