Охранная фирма ESET недавно сообщила о вредоносном ПО, нацеленном в основном на пользователей Android, которое использует атаку социальной инженерии наряду с украденным трафиком NFC для кражи банковских данных у пользователей. Вредоносное ПО, получившее название Ngate, позволяет злоумышленникам выкачивать деньги с банковских счетов пострадавших пользователей. Атака уникальна тем, что состоит из нескольких движущихся частей, и, как сообщается, это первая атака, в которой перехват NFC интегрирован в многогранный подход.

Атака работает относительно просто. Все начинается с убеждения пользователя установить поддельную версию выбранного им банковского приложения. Это достигается с помощью вредоносной рекламы или прогрессивных веб-приложений, которые имитируют официальные интерфейсы Google Play, а также некоторых банковских приложений, которые обманом заставляют пользователей установить то, что они считают чем-то другим, обычно критическое обновление безопасности. Это процесс, состоящий из двух частей; первая часть направлена ​​на то, чтобы заставить пользователей предоставить доступ к их оборудованию и банковским данным, а вторая часть устанавливает само вредоносное ПО.

Вредоносное ПО основано на наборе инструментов с открытым исходным кодом под названием NFCGate, который был разработан немецкими студентами с целью анализа или изменения трафика NFC на хост-устройствах. С другой стороны, NGate — это приложение, созданное исключительно для прослушивания и передачи. Когда зараженное устройство подносится к банковской карте с поддержкой NFC или к любой другой метке или карте с поддержкой NFC, информация, передаваемая через NFC, захватывается устройством и передается злоумышленникам. Оттуда они могут использовать устройство Android с включенными root-правами для клонирования вывода NFC. Это позволяет им обмануть банкомат или другое устройство NFC, заставив его думать, что они держат эту карту или метку. Наряду с банковской информацией, украденной на первом этапе, это позволяет им получить доступ к PIN-коду жертвы или изменить его, а также снять деньги.

Обнаружено, что эта атака активна в Чехии по крайней мере с ноября 2023 года. Похоже, что эта тактика использовалась в ограниченном масштабе: она была нацелена на клиентов трех чешских банков с помощью шести фейковых приложений. Один из людей, использовавших вредоносное ПО для кражи денег, был арестован в Праге еще в марте 2024 года, при нем было украдено около 6500 долларов США. Его личность и национальность пока не раскрыты. В отчете отмечается, что применение этого нападения, похоже, прекратилось после ареста.

Хотя ESET считает, что активность прекратилась, другому злоумышленнику не составит большого труда подобрать тот же набор инструментов и подход, а затем обновить его для новой аудитории. Стоит отметить, что в официальном магазине Google Play нет программного обеспечения, содержащего именно эту вредоносную программу. Google подтвердил это новостному изданию Bleeping Computer, заявив, что Google Play Protect содержит защиту от NGate.