SuperCard X Mobile Malware

En tidigare okänd Android Malware-as-a-Service (MaaS)-plattform vid namn SuperCard X gör vågor i cyberbrottsvärlden. Det ger angripare möjlighet att utföra reläattacker för närfältskommunikation (NFC), vilket möjliggör bedrägliga transaktioner och uttag av bankomat. Inriktad på bankkunder i Italien, tros denna skadliga programvara främjas via Telegram-kanaler, vilket utökar sin räckvidd genom underjordiska cyberkriminella nätverk.

Den vilseledande ingångspunkten: Social ingenjörskonst när det är som värst

SuperCard X använder en attackkedja i flera steg, som börjar med klassisk social ingenjörskonst. Offren lockas genom smishing-kampanjer eller falska WhatsApp-meddelanden som utger sig för att vara banker, varnar användare om misstänkt aktivitet och uppmanar dem att ringa ett telefonnummer.

När kontakt väl har tagits eskalerar taktiken till en telefonorienterad attackleverans (TOAD). Under dessa samtal övertygar angripare offren att installera vad som verkar vara säkerhetsprogramvara. Apparna som används i detta knep inkluderar:

• Verifica Carta (io.dxpay.remotenfc.supercard11)
• SuperCard X (io.dxpay.remotenfc.supercard)
• KingCard NFC (io.dxpay.remotenfc.supercard)

Offren manipuleras också till att avslöja PIN-koder och ta bort transaktionsgränser, vilket skapar förutsättningar för storskalig ekonomisk stöld.

Relämekanismen: Hur taktiken fungerar

Kärnan i SuperCard X är en sofistikerad NFC-reläteknik. Så här fungerar det:

• Offren uppmanas att hålla sitt kredit- eller betalkort nära sin infekterade telefon.
• Reader-appen på offrets telefon fångar NFC-sända kortdata.
• Denna information skickas via HTTP till en Tapper-app på angriparens enhet.
• Tapper-appen emulerar de stulna kortdata, vilket gör att angripare kan utföra obehöriga PoS- eller ATM-transaktioner.

För att länka enheterna instrueras offren att ange inloggningsuppgifter under samtalet – autentiseringsuppgifter som ansluter den infekterade enheten (Reader) med angriparens Tapper-instans.

Anpassning, kommunikation och kontroll

SuperCard X är modulärt och anpassningsbart, med variationer i inloggningsgränssnittet som tyder på att olika kriminella affiliates skräddarsyr det för sina specifika kampanjer. Den använder också ömsesidig TLS (mTLS) för krypterad kommunikation bland skadlig programvara och dess Command-and-Control-infrastruktur (C2).

För att fungera måste cyberbrottslingar först registrera ett konto på SuperCard X-plattformen, vilket gör det möjligt för dem att skapa anpassade skadliga program och hantera NFC-datareläer sömlöst.

Att vara säker: Vad användare bör veta

Trots den avancerade taktiken finns det sätt att hålla sig skyddad:

• Undvik att installera appar från okända källor eller länkar som skickas via SMS/WhatsApp.
• Granska appbehörigheter, recensioner och beskrivningar innan du laddar ner.
• Håll Google Play Protect aktiverat för att skanna och blockera misstänkta appar.
• Se upp för brådskande meddelanden som uppmanar dig att ringa ett nummer eller tillhandahålla känsliga uppgifter.

Google utvecklar enligt uppgift nya Android-funktioner för att blockera appinstallationer från overifierade källor och begränsa tillgänglighetsbehörigheter, i syfte att avbryta denna malwares distributionsmetod vid källan.

Den större bilden

SuperCard X är inte bara ytterligare en skadlig kod – det representerar en hotande utveckling inom finansiell cyberbrottslighet. Att utnyttja kontaktlös kortteknologi introducerar en skalbar metod för angripare att kringgå fysisk kortsäkerhet. När det expanderar utgör det ett allvarligt hot inte bara mot bankinstitutioner utan också mot betalningsleverantörer och kortutgivare över hela världen.