NFCShare Андроид злонамерни софтвер
Истраживачи сајбер безбедности идентификовали су нове варијанте Андроид злонамерног софтвера NFCShare који се дистрибуира путем лажних ажурирања за легитимне банкарске апликације хостоване на GitHub-у. Претња је значајно еволуирала у односу на своје раније верзије и сада циља клијенте више банака и финансијских институција широм Европе путем софистицираних фишинг операција осмишљених да украду информације о платним картицама.
Преглед садржаја
Како NFCShare краде осетљиве податке са картице
Напад се ослања на технике социјалног инжењеринга које убеђују жртве да интерагују са лажним процесом верификације. Корисницима се налаже да постављају своје платне картице близу чипа за комуникацију блиског поља (NFC) свог мобилног уређаја, што омогућава злонамерном софтверу да приступи подацима картице путем Андроидовог IsoDep интерфејса и EMV команди.
Једном активиран, NFCShare прикупља критичне информације, укључујући:
- Број платне картице
- Тип картице
- Датум истека
- Четвороцифрени ПИН код који је жртва унела као део лажног процеса безбедносне верификације
Украдене информације се затим преносе на инфраструктуру командовања и контроле (C2) нападача путем WebSocket комуникационог канала. Ови подаци се потом могу искористити у NFC нападима релеја плаћања сличним онима који су раније били повезани са кампањама злонамерног софтвера NGate, SuperCard X и RelayNFC.
Претња која се развија са изразитим карактеристикама
NFCShare су први пут документовали истраживачи безбедности у јануару 2026. године, а континуирано праћење је открило континуирани развој и усавршавање злонамерног софтвера. Иако претња дели сличности у понашању са другим породицама злонамерних софтвера за Андроид које користе NFC технологију, истраживачи су идентификовали значајне разлике у његовој кодној бази, библиотекама, архитектури и методама имплементације.
Упркос овим разликама, стручњаци верују да би NFCShare и даље могао да представља еволуцију истог ширег екосистема сајбер криминала и да би њиме могли управљати исти актери претњи одговорни за повезане кампање.
Ланац напада почиње са банкарским фишинг страницама
Недавни напади примећени од 14. маја прате пажљиво осмишљен ланац инфекције. Жртве се прво усмеравају на фишинг веб странице које имитирају легитимне банкарске портале и захтевају акредитиве за онлајн банкарство. Након што доставе ове информације, корисницима се препоручује да инсталирају оно што изгледа као обавезно ажурирање банкарске апликације.
Жртве се затим преусмеравају на GitHub репозиторијум који садржи злонамерне Android APK датотеке. Истраживачи такође напомињу да би SMS поруке и телефонски позиви од појединаца који се представљају као представници банака потенцијално могли бити укључени у процес социјалног инжењеринга, иако ове технике још нису директно примећене у NFCShare кампањама.
ГитХаб репозиторијум садржи десетине лажних банкарских апликација
ГитХаб репозиторијум који се користи за дистрибуцију злонамерног софтвера креиран је 10. априла и већ је садржао 56 јединствених злонамерних АПК датотека које се лажно представљају као банкарске апликације, првенствено усмерене на кориснике у Италији и Шпанији. Примери укључују:
- Интеса Царте, Селла Царте, Банца Селла Царте, Неки Царте, Фидеурам Царте и Моонеи Царте
- ЦаикаБанк, ЦаикаБанкНфц и ЦаикаРеацтиваТарјета
Истраживачи су раније известили да је NFCShare циљао само клијенте Deutsche Bank у Немачкој током јануара 2026. године. Најновија открића указују на то да су оператери малвера значајно проширили свој обим циљања широм Европе.
Технике замагљивања осмишљене да компликују анализу
Једно од најзначајнијих побољшања у најновијим варијантама NFCShare-а је коришћење техника паковања неправилно обликованих APK датотека које имају за циљ да ометају аутоматизовану анализу злонамерног софтвера и потенцијално ометају одређене безбедносне алате.
Иако APK датотеке остају стандардне ZIP архиве, новији узорци садрже намерно погрешно обликоване путање датотека. Ове манипулисане путање могу довести до тога да неки алати за екстракцију погрешно протумаче интерне релативне путање као стварне локације фајл система, што доводи до грешака у обради и неуспелих покушаја анализе.
Међутим, ова техника не спречава ручно истраживање или опоравак кода. Уместо тога, она првенствено служи за компликовање токова рада статичке анализе и ометање аутоматизованих механизама за детекцију.
Заштита од NFCShare инфекција
Стручњаци за безбедност саветују корисницима Андроида да преузимају банкарске апликације искључиво из поузданих и реномираних извора, као што су званичне продавнице апликација или верификоване банкарске веб странице. Корисници би такође требало да буду опрезни када се суоче са неочекиваним процедурама верификације, посебно онима које захтевају скенирање NFC картица или друге необичне безбедносне провере, јер то може указивати на покушај прикупљања осетљивих финансијских информација.
