أبلغت شركة الأمان ESET مؤخرًا عن قطعة من البرامج الضارة التي تستهدف بشكل أساسي مستخدمي Android، والتي تستخدم هجوم الهندسة الاجتماعية جنبًا إلى جنب مع حركة مرور NFC المسروقة، لسرقة البيانات المصرفية من المستخدمين. تسمح البرمجيات الخبيثة التي يطلق عليها اسم Ngate للمهاجمين بسحب الأموال من الحسابات المصرفية للمستخدمين المتأثرين. الهجوم فريد من نوعه من حيث أنه يحتوي على أجزاء متحركة متعددة، ويُقال إنه أول هجوم يتم رؤيته على الإطلاق لدمج اعتراض NFC كجزء من نهج متعدد الأوجه.

طريقة عمل الهجوم بسيطة نسبيًا. يبدأ كل شيء بإقناع المستخدم بتثبيت نسخة مزيفة من التطبيق المصرفي الذي يختاره. ويتم تحقيق ذلك من خلال الإعلانات الضارة أو تطبيقات الويب التقدمية التي تحاكي الواجهات الرسمية لـ Google Play واختيار التطبيقات المصرفية لخداع المستخدمين لتثبيت ما يعتقدون أنه شيء آخر، وعادةً ما يكون تحديثًا أمنيًا مهمًا. هذه عملية من جزأين؛ يهدف الجزء الأول إلى جعل المستخدمين يمنحون حق الوصول إلى أجهزتهم وبياناتهم المصرفية، بينما يقوم الجزء الثاني بتثبيت البرامج الضارة الفعلية.

&&& تعتمد البرمجيات الخبيثة على مجموعة أدوات مفتوحة المصدر تسمى NFCGate، والتي تم تطويرها من قبل طلاب الجامعات الألمانية بهدف القدرة على تحليل أو تغيير حركة مرور NFC على الأجهزة المضيفة. NGate، من ناحية أخرى، هو تطبيق تم تصميمه فقط للاستماع والنقل. عندما يتم تقريب الجهاز المصاب من بطاقة بنكية تدعم تقنية NFC، أو أي علامة أو بطاقة أخرى تدعم تقنية NFC، فإن المعلومات التي يتم بثها عبر NFC يتم التقاطها بواسطة الجهاز ونقلها إلى المهاجمين. ومن هناك، يمكنهم استخدام جهاز Android مع تمكين امتيازات الجذر لاستنساخ مخرجات NFC. يتيح لهم ذلك خداع ماكينة الصراف الآلي أو أي وعاء NFC آخر للاعتقاد بأنهم يحملون تلك البطاقة أو العلامة. إلى جانب المعلومات المصرفية المسروقة في الخطوة الأولى، يتيح لهم ذلك الوصول إلى رقم التعريف الشخصي للضحية أو تغييره وسحب الأموال.

تبين أن هذا الهجوم نشط في التشيك منذ نوفمبر 2023 على الأقل. ويبدو أن هذا التكتيك قد تم استخدامه على نطاق محدود، حيث استهدف عملاء ثلاثة بنوك تشيكية من خلال ستة تطبيقات مزيفة. تم القبض على أحد الأشخاص الذين يستخدمون البرامج الضارة لسرقة الأموال في براغ في مارس 2024، وبحوزته ما يعادل 6500 دولار من الأموال المسروقة. ولم يتم الكشف بعد عن هويته وجنسيته. وأشار التقرير إلى أن استخدام هذا الهجوم يبدو أنه توقف منذ الاعتقال.

بينما تعتقد شركة ESET أن النشاط قد توقف، لن يكون من الصعب جدًا على مهاجم آخر التقاط نفس مجموعة الأدوات والمنهج، ثم إعطائها عملية تجميل لجمهور جديد. تجدر الإشارة إلى أنه لا يمكن العثور على أي برنامج يحتوي على هذه البرامج الضارة في متجر Google Play الرسمي. أكدت Google ذلك لمنفذ الأخبار Bleeping Computer، مشيرة إلى أن Google Play Protect يحتوي على حماية ضد NGate.