NFCShare Android Malware

Studiuesit e sigurisë kibernetike kanë identifikuar variante të reja të malware-it për Android NFCShare që po shpërndahen përmes përditësimeve të rreme për aplikacionet legjitime bankare të hostuara në GitHub. Kërcënimi ka evoluar ndjeshëm nga versionet e tij të mëparshme dhe tani po synon klientët e bankave dhe institucioneve të shumta financiare në të gjithë Evropën përmes operacioneve të sofistikuara të phishing-ut të dizajnuara për të vjedhur informacionin e kartave të pagesave.

Si NFCShare vjedh të dhënat e ndjeshme të kartave

Sulmi mbështetet në teknikat e inxhinierisë sociale që i bindin viktimat të bashkëveprojnë me një proces verifikimi mashtrues. Përdoruesve u udhëzohet të vendosin kartat e tyre të pagesës pranë çipit të komunikimit në fushë të afërt (NFC) të pajisjes së tyre mobile, duke i lejuar malware-it të hyjë në të dhënat e kartës përmes ndërfaqes IsoDep të Android dhe komandave EMV.

Pasi aktivizohet, NFCShare mbledh informacione kritike, duke përfshirë:

• Numri i kartës së pagesës
• Lloji i kartës
• Data e skadimit
• Kodi PIN me katër shifra i futur nga viktima si pjesë e një procesi të rremë verifikimi sigurie

Informacioni i vjedhur më pas transmetohet në infrastrukturën e komandës dhe kontrollit (C2) të sulmuesve përmes një kanali komunikimi WebSocket. Këto të dhëna mund të përdoren më pas në sulme të transmetimit të pagesave NFC të ngjashme me ato të lidhura më parë me fushatat e malware NGate, SuperCard X dhe RelayNFC.

Një kërcënim në zhvillim me karakteristika të dallueshme

NFCShare u dokumentua për herë të parë nga studiuesit e sigurisë në janar 2026, dhe monitorimi i vazhdueshëm ka zbuluar zhvillim dhe përsosje të vazhdueshme të malware-it. Edhe pse kërcënimi ndan ngjashmëri në sjellje me familjet e tjera të malware-it për Android që shfrytëzojnë teknologjinë NFC, studiuesit kanë identifikuar dallime të dukshme në bazën e kodit, libraritë, arkitekturën dhe metodat e zbatimit të tij.

Pavarësisht këtyre dallimeve, ekspertët besojnë se NFCShare mund të përfaqësojë ende një evolucion të të njëjtit ekosistem më të gjerë të krimit kibernetik dhe mund të operohet nga të njëjtët aktorë kërcënimi përgjegjës për fushatat përkatëse.

Zinxhiri i Sulmeve Fillon me Faqet e Phishingut Bankar

Sulmet e fundit të vëzhguara që nga 14 maji ndjekin një zinxhir infeksioni të hartuar me kujdes. Viktimat drejtohen së pari në faqet e internetit të phishing që imitojnë portale legjitime bankare dhe kërkojnë kredenciale bankare online. Pas dhënies së këtij informacioni, përdoruesit inkurajohen të instalojnë atë që duket të jetë një përditësim i detyrueshëm i aplikacionit bankar.

Viktimat më pas ridrejtohen në një depo GitHub që strehon skedarë APK të dëmshëm për Android. Studiuesit gjithashtu vërejnë se mesazhet SMS dhe telefonatat nga individë që paraqiten si përfaqësues të bankave mund të përfshihen potencialisht në procesin e inxhinierisë sociale, megjithëse këto teknika nuk janë vërejtur ende drejtpërdrejt në fushatat NFCShare.

Depozita GitHub strehon dhjetëra aplikacione bankare të rreme

Depozita GitHub e përdorur për të shpërndarë malware-in u krijua më 10 prill dhe tashmë ka strehuar 56 skedarë unikë APK keqdashës që imitojnë aplikacionet bankare, duke synuar kryesisht klientët në Itali dhe Spanjë. Shembujt përfshijnë:

• Intesa Carte, Sella Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte dhe Mooney Carte
• CaixaBank, CaixaBankNfc dhe CaixaReactivaTarjeta

Studiuesit raportuan më parë se NFCShare kishte në shënjestër vetëm klientët e Deutsche Bank në Gjermani gjatë janarit 2026. Gjetjet e fundit sugjerojnë se operatorët e programeve keqdashëse e kanë zgjeruar ndjeshëm fushëveprimin e tyre të shënjestrimit në të gjithë Evropën.

Teknikat e errësirës të dizajnuara për të komplikuar analizën

Një nga përmirësimet më të dukshme në variantet më të fundit të NFCShare është përdorimi i teknikave të paketimit të keqformuar të APK-ve që synojnë të prishin analizën automatike të malware-it dhe potencialisht të ndërhyjnë në mjete të caktuara sigurie.

Edhe pse skedarët APK mbeten arkiva standarde ZIP, mostrat më të reja përmbajnë shtigje skedarësh të keqformuara qëllimisht. Këto shtigje të manipuluara mund të bëjnë që disa mjete nxjerrjeje të keqinterpretojnë shtigjet e brendshme relative si vendndodhje aktuale të sistemit të skedarëve, duke rezultuar në gabime përpunimi dhe përpjekje të dështuara analize.

Megjithatë, kjo teknikë nuk parandalon hetimin manual ose rikuperimin e kodit. Përkundrazi, ajo shërben kryesisht për të komplikuar rrjedhat e punës së analizës statike dhe për të penguar mekanizmat e zbulimit të automatizuar.

Mbrojtja kundër infeksioneve të NFCShare

Ekspertët e sigurisë këshillojnë përdoruesit e Android që të shkarkojnë aplikacione bankare ekskluzivisht nga burime të besueshme dhe me reputacion të mirë, siç janë dyqanet zyrtare të aplikacioneve ose faqet e internetit të verifikuara të bankave. Përdoruesit duhet gjithashtu të tregojnë kujdes kur përballen me procedura të papritura verifikimi, veçanërisht ato që kërkojnë skanime të kartave NFC ose kontrolle të tjera të pazakonta sigurie, pasi këto mund të tregojnë një përpjekje për të mbledhur informacione të ndjeshme financiare.