La empresa de seguridad ESET informó recientemente sobre un malware dirigido principalmente a usuarios de Android, que utiliza un ataque de ingeniería social junto con tráfico NFC robado, para robar datos bancarios de los usuarios. Apodado Ngate, el malware permite a los atacantes desviar dinero de las cuentas bancarias de los usuarios afectados. El ataque es único porque tiene múltiples partes móviles y, según se informa, es el primero que se ve en la naturaleza que integra la interceptación NFC como parte de un enfoque multifacético.

La forma en que funciona el ataque es relativamente simple. Todo comienza con convencer a un usuario para que instale una versión falsa de la aplicación bancaria de su elección. Esto se logra a través de publicidad maliciosa o aplicaciones web progresivas que imitan las interfaces oficiales de Google Play y aplicaciones bancarias seleccionadas para engañar a los usuarios para que instalen lo que les hacen creer que es otra cosa, generalmente una actualización de seguridad crítica. Este es un proceso de dos partes; La primera parte tiene como objetivo lograr que los usuarios otorguen acceso a su hardware y datos bancarios, y la segunda parte instala el malware real.

El malware se basa en un conjunto de herramientas de código abierto llamado NFCGate, que fue desarrollado por estudiantes universitarios alemanes con el objetivo de poder analizar o alterar el tráfico NFC en los dispositivos host. NGate, por otro lado, es una aplicación diseñada exclusivamente para escuchar y transmitir. Cuando el dispositivo infectado se acerca a una tarjeta bancaria habilitada para NFC, o cualquier otra etiqueta o tarjeta habilitada para NFC, el dispositivo captura la información que se transmite a través de NFC y la transmite a los atacantes. Desde allí, pueden usar un dispositivo Android con privilegios de root habilitados para clonar esa salida NFC. Esto les permite engañar a un cajero automático u otro receptáculo NFC haciéndoles creer que tienen esa tarjeta o etiqueta en sus manos. Junto con la información bancaria robada en el primer paso, esto les permite acceder o cambiar el PIN de la víctima y retirar dinero.

Se ha descubierto que este ataque está activo en Chequia desde al menos noviembre de 2023. Esta táctica parece haber sido utilizada en una escala limitada, apuntando a clientes de tres bancos checos a través de seis aplicaciones falsas. Una de las personas que utilizaba el malware para robar dinero fue arrestada en Praga en marzo de 2024, con el equivalente aproximado de 6.500 dólares en fondos robados. Su identidad y nacionalidad aún no se han revelado. El informe señala que el uso de este ataque parece haber cesado desde el arresto.

Si bien ESET cree que la actividad se ha detenido, no sería demasiado difícil para otro atacante utilizar el mismo conjunto de herramientas y enfoque y luego darle un lavado de cara para una nueva audiencia. Vale la pena señalar que no se puede encontrar ningún software que contenga este malware en particular en la tienda oficial de Google Play. Google confirmó esto al medio de noticias Bleeping Computer, afirmando que Google Play Protect contiene protecciones contra NGate.