Guillem Alsina Gonzàlez
BlackFog ha identificado Matrix Push C2 como una nueva plataforma de mando y control (C2) que se apoya en funciones estándar del navegador para dirigir ataques de malware y phishing. Se trata de un framework nativo del navegador y de tipo “sin archivos” (fileless), que explota las notificaciones push, las alertas falsas y las redirecciones de enlaces para atacar a usuarios en distintos sistemas operativos.
En el centro de esta técnica se encuentra el sistema de notificaciones web del navegador, una función legítima diseñada para que los sitios puedan mostrar avisos, y que Matrix Push C2 utiliza conviertiéndolo en un canal de mando y control que opera sin necesidad de desplegar inicialmente ficheros maliciosos en el endpoint, lo que le permite sortear las herramientas convencionales que buscan malware entre los archivos de la unidad de almacenamiento.
Según el análisis de la firma especializada en soluciones de IA para ciberseguridad, el ataque comienza cuando los operadores de Matrix Push C2 consiguen que el usuario conceda permiso para recibir notificaciones del navegador. Para ello recurren a ingeniería social en sitios maliciosos o en páginas legítimas que han sido comprometidas, presentando ventanas de solicitud de permisos que parecen rutinarias. Una vez que el usuario se suscribe a dichas notificaciones, el atacante obtiene una línea directa hacia el escritorio o el dispositivo móvil a través del propio navegador.
A partir de ese momento, el sistema permite enviar mensajes que simulan errores del sistema o avisos de seguridad, y que adoptan la apariencia de mensajes procedentes del sistema operativo o de aplicaciones de confianza, con títulos e iconos que contribuyen a hacerlos creíbles. Cuando la víctima pulsa sobre la notificación, es redirigida a un sitio controlado por el atacante, que puede ser una página de phishing o un recurso desde el que se descarga código malicioso, como un supuesto “escáner” o una actualización del navegador.
Todo el proceso inicial se desarrolla dentro del propio mecanismo de notificaciones del navegador. En esta fase no es necesario que exista un archivo de malware tradicional instalado en el sistema, lo que caracteriza a Matrix Push C2 como una técnica de ataque fileless en su etapa de entrada, y dificulta su detección.
La orquestación de las campañas se realiza desde un panel web proporcionado por la propia plataforma Matrix Push C2. Desde la perspectiva del atacante, este panel recuerda a una consola de automatización de campañas, pero orientada a actividades maliciosas. Dicha consola muestra, entre otros datos, el número total de navegadores controlados y métricas sobre la entrega de las notificaciones, lo que permite supervisar de forma centralizada todos los clientes comprometidos con independencia del sistema operativo.
Una de las funcionalidades destacadas es la vista de “clientes activos”, una sección que ofrece información detallada en tiempo real de cada navegador enrolado: el panel indica qué notificaciones se han entregado, cuáles han generado interacción y registra acciones concretas, como clics sobre una alerta o un botón. Además, la plataforma puede recopilar ciertos datos del lado del cliente, como la presencia de extensiones de monederos de criptomonedas en el navegador o el tipo de dispositivo utilizado, sin necesidad de desplegar componentes pesados en el endpoint.
Desde el momento en el que la víctima acepta las notificaciones, el navegador pasa a actuar como una fuente continua de telemetría hacia la infraestructura de mando y control, proporcionando a los atacantes visibilidad sobre el comportamiento del usuario.
Suplantación de marcas y plantillas de phishing
El análisis subraya que el núcleo del ataque es la ingeniería social. Matrix Push C2 incorpora plantillas configurables que permiten adaptar tanto las notificaciones como las páginas de destino para que imiten a servicios ampliamente conocidos. La plataforma incluye plantillas asociadas a marcas como MetaMask, Netflix, Cloudflare, PayPal o TikTok, diseñadas para que las notificaciones y pantallas de “verificación” resulten indistinguibles de comunicaciones legítimas de estos proveedores.
Mediante el uso de logotipos familiares, mensajes redactados en un tono similar al de los servicios originales y diseños que replican las interfaces reales, los atacantes aprovechan la confianza que los usuarios depositan en estas marcas. Un ejemplo descrito en el informe es el de notificaciones con apariencia de estar generadas por Cloudflare, que simulan comprobaciones de seguridad de la conexión y animan al usuario a hacer clic para continuar. Otro ejemplo son mensajes que aparentan proceder de PayPal, alertando de accesos inusuales y pidiendo verificar la cuenta.
Estas notificaciones aparecen en el área oficial de avisos del dispositivo, lo que favorece que el usuario asuma que el mensaje proviene de su propio sistema operativo o de una aplicación instalada. En la práctica, se está utilizando un canal legítimo para colocar la carga de phishing directamente en la pantalla del usuario.
Además de la parte visible para el usuario, Matrix Push C2 incorpora capacidades de medición y optimización de campañas. La plataforma integra un acortador de URLs y funciones de analítica que permiten generar enlaces personalizados, ocultar el destino real bajo rutas aparentemente inocuas y seguir en detalle las interacciones de las víctimas.
En vez de difundir direcciones largas y potencialmente sospechosas, los operadores pueden crear enlaces cortos bajo dominios o rutas que controlan. Esos enlaces se utilizan en las notificaciones y redirigen finalmente al recurso malicioso. El sistema contabiliza cada clic y lo refleja en el panel de campaña, de modo que los atacantes pueden ver qué enlaces han sido accedidos y cuántas veces. Esta información les permite ajustar a tiempo real el contenido de las notificaciones y los señuelos utilizados.
El análisis de BlackFog presenta Matrix Push C2 como un ejemplo de cambio en las tácticas de acceso inicial. Al utilizar el navegador como punto de entrada y como canal de mando y control, estos ataques evitan parte de los controles de seguridad tradicionales y permiten a los atacantes escalar gradualmente desde la simple aceptación de una notificación hasta el robo o la monetización de los datos.
Una vez que el endpoint —ya sea un ordenador o un dispositivo móvil— se encuentra bajo la influencia de este tipo de campañas, los operadores pueden seguir enviando mensajes de phishing para obtener credenciales, convencer al usuario de instalar componentes de malware más persistentes o explotar vulnerabilidades del navegador con el fin de incrementar el nivel de control sobre el sistema. El objetivo final suele ser la extracción de información o la obtención de beneficios económicos, por ejemplo, mediante el vaciado de monederos de criptomonedas o la exfiltración de datos personales.
