Malware sa Android na may NF Share

Natukoy ng mga mananaliksik sa cybersecurity ang mga bagong variant ng Android malware na NFFChare na ipinamamahagi sa pamamagitan ng mga pekeng update para sa mga lehitimong application sa pagbabangko na naka-host sa GitHub. Ang banta ay lumago nang malaki mula sa mga naunang bersyon nito at ngayon ay tinatarget ang mga customer ng maraming bangko at institusyong pinansyal sa buong Europa sa pamamagitan ng mga sopistikadong operasyon ng phishing na idinisenyo upang magnakaw ng impormasyon ng payment card.

Paano Ninanakaw ng NFCShare ang Sensitibong Data ng Card

Ang pag-atake ay umaasa sa mga pamamaraan ng social engineering na kumukumbinsi sa mga biktima na makipag-ugnayan sa isang proseso ng mapanlinlang na pag-verify. Inutusan ang mga user na ilagay ang kanilang mga payment card malapit sa near-field communication (NFC) chip ng kanilang mobile device, na nagpapahintulot sa malware na ma-access ang data ng card sa pamamagitan ng IsoDep interface ng Android at mga utos ng EMV.

Kapag na-activate na, kinukuha ng NFSChare ang mahahalagang impormasyon, kabilang ang:

• Numero ng card sa pagbabayad
• Uri ng kard
• Petsa ng pag-expire
• Apat na digit na PIN code na inilagay ng biktima bilang bahagi ng pekeng proseso ng pag-verify ng seguridad

Ang ninakaw na impormasyon ay ipinapadala sa command-and-control (C2) infrastructure ng mga umaatake sa pamamagitan ng isang WebSocket communication channel. Ang datos na ito ay maaaring magamit sa mga NFC payment relay attack na katulad ng mga dating nauugnay sa mga kampanya ng malware na NGate, SuperCard X, at RelayNFC.

Isang Umuunlad na Banta na May Natatanging Katangian

Ang NFCShare ay unang naidokumento ng mga mananaliksik sa seguridad noong Enero 2026, at ang patuloy na pagsubaybay ay nagsiwalat ng patuloy na pag-unlad at pagpipino ng malware. Bagama't ang banta ay may mga pagkakatulad sa pag-uugali sa iba pang pamilya ng mga malware sa Android na gumagamit ng teknolohiya ng NFC, natukoy ng mga mananaliksik ang mga kapansin-pansing pagkakaiba sa codebase, mga library, arkitektura, at mga pamamaraan ng pagpapatupad nito.

Sa kabila ng mga pagkakaibang ito, naniniwala ang mga eksperto na ang NFCShare ay maaari pa ring kumatawan sa isang ebolusyon ng parehong mas malawak na ecosystem ng cybercriminal at maaaring pinapatakbo ng parehong mga aktor ng banta na responsable para sa mga kaugnay na kampanya.

Nagsisimula ang Kadena ng Pag-atake sa mga Pahina ng Phishing sa Pagbabangko

Ang mga kamakailang pag-atake na naobserbahan simula noong Mayo 14 ay sumusunod sa isang maingat na ginawang kadena ng impeksyon. Ang mga biktima ay unang itinuturo sa mga phishing website na ginagaya ang mga lehitimong portal ng pagbabangko at humihingi ng mga kredensyal sa online banking. Matapos ibigay ang impormasyong ito, hinihikayat ang mga user na mag-install ng tila isang mandatoryong pag-update ng aplikasyon sa pagbabangko.

Pagkatapos ay ire-redirect ang mga biktima sa isang GitHub repository na nagho-host ng mga malisyosong Android APK file. Nabanggit din ng mga mananaliksik na ang mga mensaheng SMS at tawag sa telepono mula sa mga indibidwal na nagpapanggap na kinatawan ng bangko ay maaaring maisama sa proseso ng social-engineering, bagama't ang mga pamamaraang ito ay hindi pa direktang naoobserbahan sa mga kampanya ng NFCShare.

Nagho-host ang GitHub Repository ng Dose-dosenang Pekeng Aplikasyon sa Pagbabangko

Ang GitHub repository na ginamit upang ipamahagi ang malware ay nilikha noong Abril 10 at nakapag-host na ng 56 na natatanging malisyosong APK file na nagpapanggap na mga aplikasyon sa pagbabangko, na pangunahing tinatarget ang mga customer sa Italya at Espanya. Kabilang sa mga halimbawa ang:

• Intesa Carte, Sella Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte, at Mooney Carte
• CaixaBank, CaixaBankNfc, at CaixaReactivaTarjeta

Naunang iniulat ng mga mananaliksik na ang NFCShare ay tinarget lamang ang mga customer ng Deutsche Bank sa Germany noong Enero 2026. Ang mga pinakabagong natuklasan ay nagmumungkahi na ang mga operator ng malware ay lubos na nagpalawak ng kanilang saklaw ng pag-target sa buong Europa.

Mga Teknik sa Obfuscation na Dinisenyo upang Pahirapan ang Pagsusuri

Isa sa mga pinakakapansin-pansing pagpapahusay sa mga pinakabagong variant ng NFCShare ay ang paggamit ng mga maling pamamaraan sa pag-package ng APK na nilayon upang guluhin ang awtomatikong pagsusuri ng malware at posibleng makagambala sa ilang partikular na tool sa seguridad.

Bagama't nananatiling karaniwang mga ZIP archive ang mga APK file, ang mga mas bagong sample ay naglalaman ng mga sadyang maling nabuo na file path. Ang mga minanipulang path na ito ay maaaring maging sanhi ng maling pagkaunawa ng ilang extraction tool sa mga internal relative path bilang mga aktwal na lokasyon ng filesystem, na nagreresulta sa mga error sa pagproseso at mga nabigong pagtatangka sa pagsusuri.

Gayunpaman, hindi pinipigilan ng pamamaraang ito ang manu-manong pagsisiyasat o pagbawi ng code. Sa halip, pangunahing nagsisilbi itong gawing kumplikado ang mga daloy ng trabaho ng static analysis at hadlangan ang mga mekanismo ng awtomatikong pagtuklas.

Pagprotekta Laban sa mga Impeksyon ng NFSChare

Pinapayuhan ng mga eksperto sa seguridad ang mga gumagamit ng Android na mag-download ng mga aplikasyon sa pagbabangko mula lamang sa mga mapagkakatiwalaan at kagalang-galang na mapagkukunan, tulad ng mga opisyal na app store o mga beripikadong website ng pagbabangko. Dapat ding mag-ingat ang mga gumagamit kapag nahaharap sa mga hindi inaasahang pamamaraan ng pag-verify, lalo na ang mga humihiling ng mga pag-scan ng NFC card o iba pang hindi pangkaraniwang mga pagsusuri sa seguridad, dahil maaaring ipahiwatig nito ang isang pagtatangka na kumuha ng sensitibong impormasyon sa pananalapi.