Perisian Hasad Android NFSChare

Penyelidik keselamatan siber telah mengenal pasti varian baharu perisian hasad Android NFFChare yang diedarkan melalui kemas kini palsu untuk aplikasi perbankan sah yang dihoskan di GitHub. Ancaman ini telah berkembang dengan ketara daripada versi terdahulu dan kini menyasarkan pelanggan pelbagai bank dan institusi kewangan di seluruh Eropah melalui operasi pancingan data canggih yang direka untuk mencuri maklumat kad pembayaran.

Bagaimana NFSChare Mencuri Data Kad Sensitif

Serangan ini bergantung pada teknik kejuruteraan sosial yang meyakinkan mangsa untuk berinteraksi dengan proses pengesahan palsu. Pengguna diarahkan untuk meletakkan kad pembayaran mereka berhampiran cip komunikasi medan dekat (NFC) peranti mudah alih mereka, membolehkan perisian hasad mengakses data kad melalui antara muka IsoDep Android dan arahan EMV.

Setelah diaktifkan, NFCShare mengumpul maklumat penting, termasuk:

• Nombor kad pembayaran
• Jenis kad
• Tarikh luput
• Kod PIN empat digit yang dimasukkan oleh mangsa sebagai sebahagian daripada proses pengesahan keselamatan palsu

Maklumat yang dicuri kemudiannya dihantar ke infrastruktur arahan dan kawalan (C2) penyerang melalui saluran komunikasi WebSocket. Data ini kemudiannya boleh dimanfaatkan dalam serangan geganti pembayaran NFC yang serupa dengan yang sebelum ini dikaitkan dengan kempen perisian hasad NGate, SuperCard X dan RelayNFC.

Ancaman yang Berkembang Dengan Ciri-ciri Tertentu

NFCShare pertama kali didokumentasikan oleh penyelidik keselamatan pada Januari 2026, dan pemantauan berterusan telah mendedahkan pembangunan dan penambahbaikan berterusan terhadap perisian hasad tersebut. Walaupun ancaman tersebut berkongsi persamaan tingkah laku dengan keluarga perisian hasad Android lain yang mengeksploitasi teknologi NFC, penyelidik telah mengenal pasti perbezaan ketara dalam pangkalan kod, pustaka, seni bina dan kaedah pelaksanaannya.

Walaupun terdapat perbezaan ini, pakar percaya NFCShare masih boleh mewakili evolusi ekosistem jenayah siber yang sama dan mungkin dikendalikan oleh pelaku ancaman yang sama yang bertanggungjawab untuk kempen berkaitan.

Rantaian Serangan Bermula Dengan Halaman Pancingan Data Perbankan

Serangan terbaru yang diperhatikan sejak 14 Mei mengikuti rantaian jangkitan yang direka dengan teliti. Mangsa pertama kali diarahkan ke laman web pancingan data yang meniru portal perbankan yang sah dan meminta kelayakan perbankan dalam talian. Selepas memberikan maklumat ini, pengguna digalakkan untuk memasang apa yang kelihatan sebagai kemas kini aplikasi perbankan wajib.

Mangsa kemudiannya dialihkan ke repositori GitHub yang menyimpan fail APK Android yang berniat jahat. Penyelidik juga menyatakan bahawa mesej SMS dan panggilan telefon daripada individu yang menyamar sebagai wakil bank berpotensi digabungkan ke dalam proses kejuruteraan sosial, walaupun teknik ini masih belum diperhatikan secara langsung dalam kempen NFCShare.

Repositori GitHub Menghoskan Berpuluh-puluh Aplikasi Perbankan Palsu

Repositori GitHub yang digunakan untuk mengedarkan perisian hasad telah dicipta pada 10 April dan telah pun menempatkan 56 fail APK berniat jahat unik yang menyamar sebagai aplikasi perbankan, terutamanya menyasarkan pelanggan di Itali dan Sepanyol. Contohnya termasuk:

• Intesa Carte, Sella Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte dan Mooney Carte
• CaixaBank, CaixaBankNfc dan CaixaReactivaTarjeta

Penyelidik sebelum ini melaporkan bahawa NFCShare hanya menyasarkan pelanggan Deutsche Bank di Jerman pada Januari 2026. Penemuan terkini menunjukkan bahawa pengendali perisian hasad telah meluaskan skop penyasaran mereka dengan ketara di seluruh Eropah.

Teknik Obfuscation Direka untuk Merumitkan Analisis

Salah satu penambahbaikan paling ketara dalam varian NFCShare terkini ialah penggunaan teknik pembungkusan APK yang salah bentuk yang bertujuan untuk mengganggu analisis perisian hasad automatik dan berpotensi mengganggu alat keselamatan tertentu.

Walaupun fail APK kekal sebagai arkib ZIP standard, sampel yang lebih baharu mengandungi laluan fail yang sengaja diubah bentuk. Laluan yang dimanipulasi ini boleh menyebabkan sesetengah alat pengekstrakan salah tafsir laluan relatif dalaman sebagai lokasi sistem fail sebenar, mengakibatkan ralat pemprosesan dan percubaan analisis yang gagal.

Walau bagaimanapun, teknik ini tidak menghalang penyiasatan manual atau pemulihan kod. Sebaliknya, ia berfungsi terutamanya untuk merumitkan aliran kerja analisis statik dan menghalang mekanisme pengesanan automatik.

Melindungi Daripada Jangkitan NFSChare

Pakar keselamatan menasihatkan pengguna Android untuk memuat turun aplikasi perbankan secara eksklusif daripada sumber yang dipercayai dan bereputasi baik, seperti gedung aplikasi rasmi atau laman web perbankan yang disahkan. Pengguna juga harus berhati-hati apabila berhadapan dengan prosedur pengesahan yang tidak dijangka, terutamanya yang meminta imbasan kad NFC atau pemeriksaan keselamatan luar biasa yang lain, kerana ini mungkin menunjukkan percubaan untuk mendapatkan maklumat kewangan sensitif.