Zlonamerna kampanja NGate

Analitiki za kibernetsko varnost so odkrili novo različico družine zlonamerne programske opreme za Android, znano kot NGate, ki zdaj izkorišča legitimno aplikacijo HandyPay, namesto da bi se zanašala na NFCGate. Ta razvoj poudarja premik v strategiji napadalcev, ki izkoriščajo zaupanja vredna orodja za povečanje učinkovitosti in prikritosti zlonamernih operacij.

Napadalci so HandyPay, aplikacijo, prvotno zasnovano za posredovanje podatkov NFC, spremenili z vbrizgavanjem zlonamerne kode. Kazalniki kažejo, da so bili deli te kode morda ustvarjeni z umetno inteligenco.

Podobno kot prejšnje različice NGate tudi ta spremenjena aplikacija napadalcem omogoča prestrezanje in prenos podatkov NFC s plačilne kartice žrtve na napravo, ki jo nadzorujejo. Ti ukradeni podatki se nato uporabijo za brezstične dvige na bankomatih in nepooblaščene transakcije.

Poleg prestrezanja podatkov je zlonamerna programska oprema sposobna zajeti PIN-kodo plačilne kartice žrtve in jo posredovati oddaljenemu strežniku Command-and-Control (C2), kar znatno poveča tveganje finančnega vdora.

Od NFSkate do RatOn: Širjenje priročnika zlonamerne programske opreme

NGate, znan tudi kot NFSkate, se je prvič javno pojavil avgusta 2024, ko so raziskovalci dokumentirali njegovo sposobnost izvajanja napadov NFC releja, katerih cilj je bil zbiranje podatkov o brezstičnih plačilih za goljufivo uporabo. Sčasoma so se njegovi mehanizmi dostave in operativne taktike razvili.

Do leta 2025 je sorodna kampanja, znana kot RatOn, uvedla aplikacije za spuščanje vsebin, prikrite kot različice TikToka za odrasle. Te zavajajoče aplikacije so bile uporabljene za namestitev NGate in izvajanje napadov NFC releja, kar dokazuje vse večjo prefinjenost tehnik socialnega inženiringa.

Brazilija v središču pozornosti: Pojavlja se ciljno usmerjena kampanja

Najnovejša kampanja NGate predstavlja opazen premik v geografskem ciljanju, s primarnim poudarkom na uporabnikih v Braziliji. To je prvi znani primer, ko je bila zlonamerna programska oprema prilagojena posebej za južnoameriško občinstvo.

Metode distribucije so močno odvisne od prevare. Napadalci uporabljajo lažna spletna mesta, ki se izdajajo za Rio de Prêmios, loterijo, povezano z državno loterijsko organizacijo Rio de Janeiro, skupaj z lažnimi stranmi trgovine Google Play, ki promovirajo domnevno aplikacijo za zaščito kartic. Ti kanali so zasnovani tako, da uporabnike zavajajo v prenos ogrožene različice HandyPay.

Veriga okužbe: Kako se manipulira z žrtvami

Zaporedje napadov temelji na skrbno orkestriranem socialnem inženiringu in interakciji z uporabnikom:

• Žrtve zvabijo prek lažne spletne strani loterije in jih pozovejo, da pošljejo sporočilo prek WhatsAppa, da bi zahtevale dobitke.

• Uporabniki so preusmerjeni na prenos različice HandyPay, okužene s trojanskim konjem.

• Aplikacija ob namestitvi zahteva, da jo nastavite kot privzeto plačilno aplikacijo.

• Žrtve so poučene, da vnesejo PIN-kodo plačilne kartice in jo prislonijo k napravi.

• Podatki NFC se zajamejo in v realnem času posredujejo napravi, ki jo nadzoruje napadalec.

Ko je napad izveden, napadalci pridobijo možnost izvajanja nepooblaščenih dvigov na bankomatih in plačilnih transakcij z uporabo ukradenih poverilnic.

Prikritost in strategija: Zakaj je bil izbran HandyPay

Kampanja, za katero se domneva, da se je začela okoli novembra 2025, kaže na namerno spremembo orodij. Zlonamerna različica HandyPay ni bila nikoli distribuirana prek uradne trgovine Google Play, kar potrjuje, da se napadalci v celoti zanašajo na zavajajoče tehnike dostave.
Na odločitev o uporabi HandyPaya kot orožja je verjetno vplivalo več dejavnikov. Zaradi nižjih stroškov naročnine v primerjavi z drugimi rešitvami, ki pogosto presegajo 400 dolarjev na mesec, je to ekonomična izbira za akterje napada. Poleg tega aplikacija ne zahteva posebnih dovoljenj, saj jo je treba le nastaviti kot privzeto plačilno aplikacijo. To zmanjšuje sum in povečuje verjetnost uspešne namestitve.

HandyPay je sprožil notranjo preiskavo zaradi zlorabe svoje platforme.

Umetna inteligenca pri razvoju zlonamerne programske opreme: naraščajoča skrb

Tehnična analiza zlonamerne programske opreme je odkrila nenavadne elemente, vključno s prisotnostjo emojijev v sporočilih za odpravljanje napak in sistemskih sporočilih. Ta anomalija nakazuje na morebitno vpletenost velikih jezikovnih modelov v ustvarjanje ali spreminjanje zlonamerne kode.

Čeprav dokončna pripisitev umetni inteligenci še ni potrjena, se ugotovitve ujemajo s širšim trendom v panogi, v katerem kibernetski kriminalci vse bolj izkoriščajo generativno umetno inteligenco za poenostavitev razvoja zlonamerne programske opreme. To znižuje vstopne ovire in omogoča posameznikom z omejenim tehničnim znanjem ustvarjanje sofisticiranih groženj.

Naraščajoče grožnje: Goljufije NFC v porastu

Pojav te nove različice NGate poudarja naraščajoči trend finančnih goljufij, ki temeljijo na NFC. Namesto da bi se zanašali na uveljavljena orodja, kot sta NFCGate ali platforme z zlonamerno programsko opremo kot storitvijo, napadalci zdaj preurejajo legitimne aplikacije z vgrajeno funkcionalnostjo NFC.

Ta pristop izboljšuje tako operativno učinkovitost kot tudi zmožnosti izogibanja, kar kaže na zaskrbljujoč razvoj taktik mobilnih groženj in krepi potrebo po večji budnosti pri varnosti mobilnih plačil.