Zlonamerna programska oprema NFCShare za Android
Raziskovalci kibernetske varnosti so odkrili nove različice zlonamerne programske opreme za Android NFCShare, ki se širijo prek lažnih posodobitev za legitimne bančne aplikacije, gostovane na GitHubu. Grožnja se je od prejšnjih različic znatno razvila in zdaj cilja na stranke več bank in finančnih institucij po vsej Evropi s prefinjenimi phishing operacijami, namenjenimi kraji podatkov o plačilnih karticah.
Kazalo
Kako NFCShare krade občutljive podatke o karticah
Napad temelji na tehnikah socialnega inženiringa, ki žrtve prepričajo v sodelovanje v goljufivem postopku preverjanja. Uporabnikom se naroči, naj svoje plačilne kartice približajo čipu za komunikacijo bližnjega polja (NFC) svoje mobilne naprave, kar zlonamerni programski opremi omogoča dostop do podatkov o kartici prek vmesnika IsoDep v sistemu Android in ukazov EMV.
Ko je aktiviran, NFCShare zbira ključne informacije, vključno z:
- Številka plačilne kartice
- Vrsta kartice
- Datum poteka veljavnosti
- Štirimestna PIN koda, ki jo je žrtev vnesla kot del lažnega postopka varnostnega preverjanja
Ukradene informacije se nato prek komunikacijskega kanala WebSocket prenesejo v infrastrukturo za upravljanje in nadzor (C2) napadalcev. Te podatke je mogoče nato izkoristiti v napadih s plačilnimi releji NFC, podobnih tistim, ki so bili prej povezani s kampanjami zlonamerne programske opreme NGate, SuperCard X in RelayNFC.
Razvijajoča se grožnja z izrazitimi značilnostmi
Varnostni raziskovalci so NFCShare prvič dokumentirali januarja 2026, nenehno spremljanje pa je razkrilo nenehen razvoj in izpopolnjevanje zlonamerne programske opreme. Čeprav ima grožnja vedenjske podobnosti z drugimi družinami zlonamerne programske opreme za Android, ki izkoriščajo tehnologijo NFC, so raziskovalci ugotovili opazne razlike v njeni kodni bazi, knjižnicah, arhitekturi in metodah implementacije.
Kljub tem razlikam strokovnjaki menijo, da bi NFCShare lahko še vedno predstavljal evolucijo istega širšega ekosistema kibernetske kriminalitete in da ga morda upravljajo isti akterji grožnje, ki so odgovorni za povezane kampanje.
Veriga napadov se začne z lažnimi bančnimi stranmi
Nedavni napadi, opaženi od 14. maja, sledijo skrbno zasnovani verigi okužb. Žrtve so najprej usmerjene na lažna spletna mesta, ki posnemajo legitimne bančne portale in zahtevajo spletne bančne poverilnice. Po posredovanju teh podatkov so uporabniki pozvani, da namestijo posodobitev, ki je videti kot obvezna posodobitev bančne aplikacije.
Žrtve so nato preusmerjene v repozitorij GitHub, ki gosti zlonamerne datoteke Android APK. Raziskovalci tudi ugotavljajo, da bi lahko SMS sporočila in telefonski klici posameznikov, ki se predstavljajo kot predstavniki bank, potencialno bili vključeni v proces socialnega inženiringa, čeprav te tehnike še niso bile neposredno opažene v kampanjah NFCShare.
Repozitorij GitHub gosti na desetine lažnih bančnih aplikacij
Repozitorij GitHub, ki se uporablja za distribucijo zlonamerne programske opreme, je bil ustvarjen 10. aprila in je že gostil 56 edinstvenih zlonamernih datotek APK, ki so se izdajale za bančne aplikacije, predvsem pa so ciljale na stranke v Italiji in Španiji. Primeri vključujejo:
- Intesa Carte, Sella Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte in Mooney Carte
- CaixaBank, CaixaBankNfc in CaixaReactivaTarjeta
Raziskovalci so že poročali, da je NFCShare januarja 2026 ciljal le na stranke Deutsche Bank v Nemčiji. Najnovejše ugotovitve kažejo, da so upravljavci zlonamerne programske opreme znatno razširili svoj obseg ciljanja po vsej Evropi.
Tehnike zakrivanja, zasnovane za oteževanje analize
Ena najpomembnejših izboljšav v najnovejših različicah NFCShare je uporaba tehnik pakiranja napačno oblikovanih APK-jev, namenjenih motenju avtomatizirane analize zlonamerne programske opreme in morebitnemu motenju določenih varnostnih orodij.
Čeprav datoteke APK ostajajo standardni arhivi ZIP, novejši vzorci vsebujejo namerno napačno oblikovane poti datotek. Zaradi teh spremenjenih poti lahko nekatera orodja za ekstrakcijo napačno interpretirajo notranje relativne poti kot dejanske lokacije datotečnega sistema, kar povzroči napake pri obdelavi in neuspešne poskuse analize.
Vendar ta tehnika ne preprečuje ročnega preiskovanja ali obnavljanja kode. Namesto tega predvsem zapleta delovne procese statične analize in ovira avtomatizirane mehanizme zaznavanja.
Zaščita pred okužbami z NFCShare
Varnostni strokovnjaki uporabnikom Androida svetujejo, naj bančne aplikacije prenašajo izključno iz zaupanja vrednih in uglednih virov, kot so uradne trgovine z aplikacijami ali preverjena spletna mesta bank. Uporabniki naj bodo previdni tudi pri soočanju z nepričakovanimi postopki preverjanja, zlasti tistimi, ki zahtevajo skeniranje kartic NFC ali druga nenavadna varnostna preverjanja, saj lahko to kaže na poskus pridobivanja občutljivih finančnih podatkov.
