Телефонът ви току-що плати едно кафе. Но не вашето. А антивирусната ви програма дори не забелязва, че това се е случило

Какво представлява RelayNFC и защо тази схема е по-опасна от обикновеното скимиране?

Киберпрестъпниците в Бразилия започнаха да използват нова схема за кражба на пари от безконтактните карти: мобилното приложение RelayNFC превръща смартфона на жертвата в отдалечен четец, който симулира присъствието на карта в близост до платежен терминал. Кампанията е идентифицирана от анализаторите на Cyble и според тях е останала до голяма степен невидима за системите за сигурност поне от месец.

Зловредното приложение се разпространява чрез фишинг сайтове на португалски език, които обещават засилена „защита“ на платежните карти. На потенциалните жертви се предлага да инсталират предполагаемо защитеното приложение от maisseguraca[.]site, proseguro[.]site, test[.]ikotech[.]online, maisseguro[.]site и maisprotecao[.]site. След като бъде инсталирана, програмата веднага отваря фалшив екран и ви приканва да донесете картата до телефона, след което показва следваща форма за въвеждане на четири- или шестцифрения ПИН код.

RelayNFC е изградена върху фреймуърка React Native и използва компактен модул за полезен товар, изграден с помощта на Hermes, както и вграден JavaScript енджин. Cyble оценява, че този подход затруднява защитата при анализа и разпознаването на зловреден код и позволява незабелязано да се извършва обработката на данните от банковите карти в реално време. Към момента на публикуване на доклада образците са били практически неоткриваеми от антивирусните програми, за което свидетелства нулевата откриваемост във VirusTotal.

Ключовата характеристика на RelayNFC е пълноценен канал за предаване на команди APDU чрез постоянна WebSocket връзка между сървъра на нападателя и подсистемата NFC на заразеното устройство. Контролерът на NFC обработва заявките по същия начин, както при нормална транзакция, като генерира легитимни отговори на картата. Приложението прихваща тези отговори и ги изпраща обратно към контролния сървър, като съхранява идентификаторите на заявката и сесията. В резултат на това атакуващите могат да завършат платежния скрипт на своя терминал, сякаш картата физически присъства наблизо.

Екипът на Cyble откри и сроден вариант на тази злонамерена кампания, който се опитва да използва технологията Host Card Emulation, което предполага, че се търсят нови начини за заобикаляне на ограниченията на NFC и схемата се развива допълнително. На фона на RelayNFC се споменават и други зловредни решения, които използват способността на NFC да прихваща данни за плащания, като Ngate, SuperCardX и PhantomCard, което подчертава нарастващия интерес на престъпниците към този канал за атаки.

В доклада се подчертава необходимостта от строг контрол върху инсталирането на приложения за разплащания, по-силни механизми за сигурност на ниво устройство и по-внимателно наблюдение от страна на финансовите институции за бързо идентифициране на подозрителни трансакции, свързани с безконтактните трансакции.