NFCShare 안드로이드 악성코드

사이버 보안 연구원들은 GitHub에 호스팅된 합법적인 은행 애플리케이션의 가짜 업데이트를 통해 유포되는 안드로이드 악성코드 NFCShare의 새로운 변종을 발견했습니다. 이 위협은 이전 버전에서 크게 진화하여 이제 유럽 전역의 여러 은행 및 금융 기관 고객을 대상으로 결제 카드 정보를 탈취하기 위한 정교한 피싱 공격을 감행하고 있습니다.

NFCShare가 민감한 카드 데이터를 훔치는 방법

이 공격은 피해자가 사기성 인증 절차에 참여하도록 유도하는 사회공학적 기법을 이용합니다. 사용자는 결제 카드를 모바일 기기의 근거리 무선 통신(NFC) 칩 근처에 두도록 안내받으며, 이를 통해 악성 소프트웨어는 안드로이드의 IsoDep 인터페이스와 EMV 명령어를 통해 카드 데이터에 접근할 수 있습니다.

NFCShare가 활성화되면 다음과 같은 중요한 정보를 수집합니다.

• 결제 카드 번호
• 카드 종류
• 만료일
• 피해자가 가짜 보안 인증 절차의 일부로 입력한 4자리 PIN 코드

탈취된 정보는 웹소켓 통신 채널을 통해 공격자의 명령 및 제어(C2) 인프라로 전송됩니다. 이 데이터는 이후 NGate, SuperCard X, RelayNFC 등의 악성코드 공격과 유사한 NFC 결제 중계 공격에 악용될 수 있습니다.

뚜렷한 특징을 지닌 진화하는 위협

NFCShare는 2026년 1월 보안 연구원들에 의해 처음 발견되었으며, 지속적인 모니터링을 통해 악성코드가 끊임없이 개발 및 정교화되고 있음이 확인되었습니다. 이 위협은 NFC 기술을 악용하는 다른 안드로이드 악성코드 계열과 유사한 동작을 보이지만, 연구원들은 코드베이스, 라이브러리, 아키텍처 및 구현 방식에서 주목할 만한 차이점을 발견했습니다.

이러한 차이점에도 불구하고 전문가들은 NFCShare가 더 광범위한 사이버 범죄 생태계의 진화된 형태일 수 있으며, 관련 캠페인을 벌인 동일한 위협 행위자들에 의해 운영될 가능성이 있다고 보고 있습니다.

공격 사슬은 은행 피싱 페이지에서 시작됩니다.

5월 14일 이후 관찰된 최근 공격은 정교하게 설계된 감염 경로를 따릅니다. 피해자는 먼저 합법적인 은행 포털을 모방한 피싱 웹사이트로 유도되어 온라인 뱅킹 자격 증명을 요구받습니다. 이러한 정보를 제공하면 사용자는 필수적인 것처럼 보이는 은행 애플리케이션 업데이트를 설치하도록 유도됩니다.

피해자들은 악성 안드로이드 APK 파일이 저장된 GitHub 저장소로 리디렉션됩니다. 연구원들은 또한 은행 직원을 사칭하는 사람들이 보내는 문자 메시지나 전화가 사회공학적 공격 과정에 포함될 가능성이 있다고 지적하지만, 이러한 기법이 NFCShare 캠페인에서 직접적으로 관찰된 사례는 아직 없습니다.

GitHub 저장소에 수십 개의 가짜 은행 애플리케이션이 있습니다.

악성코드를 배포하는 데 사용된 GitHub 저장소는 4월 10일에 생성되었으며, 주로 이탈리아와 스페인 고객을 대상으로 은행 애플리케이션을 사칭하는 56개의 악성 APK 파일을 이미 게시했습니다. 예시는 다음과 같습니다.

• Intesa Carte, Sella Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte 및 Mooney Carte
• CaixaBank, CaixaBankNfc 및 CaixaReactivaTarjeta

연구진은 앞서 NFCShare가 2026년 1월 한 달 동안 독일의 도이치뱅크 고객만을 표적으로 삼았다고 보고한 바 있습니다. 하지만 이번 최신 조사 결과는 악성코드 운영자들이 유럽 전역으로 공격 범위를 크게 확대했음을 시사합니다.

분석을 복잡하게 만들기 위해 고안된 난독화 기법

최신 NFCShare 변종에서 가장 주목할 만한 개선 사항 중 하나는 자동화된 악성코드 분석을 방해하고 특정 보안 도구를 무력화하기 위해 변형된 APK 패키징 기술을 사용하는 것입니다.

APK 파일은 여전히 표준 ZIP 압축 파일이지만, 최신 샘플에는 의도적으로 파일 경로가 변형되어 있습니다. 이렇게 조작된 경로로 인해 일부 압축 해제 도구가 내부 상대 경로를 실제 파일 시스템 위치로 잘못 해석하여 처리 오류가 발생하거나 분석 시도가 실패할 수 있습니다.

하지만 이 기술은 수동 조사나 코드 복구를 막지는 못합니다. 오히려 주로 정적 분석 워크플로를 복잡하게 만들고 자동 탐지 메커니즘을 방해하는 역할을 합니다.

NFCShare 감염으로부터 보호하기

보안 전문가들은 안드로이드 사용자들에게 공식 앱 스토어나 검증된 은행 웹사이트와 같은 신뢰할 수 있고 평판이 좋은 출처에서만 은행 앱을 다운로드할 것을 권고합니다. 또한, 예상치 못한 인증 절차, 특히 NFC 카드 스캔이나 기타 비정상적인 보안 검사를 요구하는 경우 주의해야 합니다. 이러한 절차는 민감한 금융 정보를 빼내려는 시도일 수 있기 때문입니다.