Схема с кражей денег при помощи NFC добралась до России

Схема с кражей денег при помощи NFC добралась до России

Схема с кражей денег при помощи NFC добралась до России

Аналитики антивирусного вендора «Доктор Веб» обнаружили новую версию банковского трояна NGate для Android. Зловред позволяет злоумышленникам снимать деньги со счетов потенциальных жертв в любых банкоматах без контакта со скомпрометированным устройством.

NGate появился еще в 2023 году. Первыми его жертвами стали клиенты чешских банков. Злоумышленники в ходе атаки комбинировали социальную инженерию, фишинг и использование вредоносного кода.

В итоге киберпреступники получали доступ к возможностям скомпрометированного устройства в удаленном режиме. Данная кампания была пресечена правоохранительными органами Чехии, однако её адаптировали для России.

Запускает цепочку компрометации звонок от мошенников. Они заманивают жертву обещаниями социальных выплат или неких финансовых выгод, для получения которых необходимо установить приложение со специального сайта. Приложения маскируются под банковские или клиент Госуслуг.

 

NGate представляет собой модификацию приложения с открытым исходным кодом NFCGate, которое изначально предназначено для отладки протоколов передачи данных через интерфейс NFC.

Злоумышленники воспользовались возможностью захвата NFC-трафика приложений и передачи его на удаленное устройство, которым может выступать не только сервер, но и любой смартфон.

Авторы зловреда модифицировали код, добавив к нему интерфейсы с айдентикой финансовых организаций, и включили режим ретрансляции NFC-данных. В состав приложения также включили библиотеку nfc-card-reader, которая позволяет удаленно получить номер карты и срок ее действия.

После запуска приложения жертве, якобы для верификации себя в качестве клиента, предлагается приложить платежную карту к смартфону, ввести ПИН-код и подождать, пока псевдоприложение распознает карту.

В это время происходит считывание данных с карты и передача их злоумышленникам. Как обратили внимание в «Доктор Веб», атакуемый смартфон не требует root-доступа.

 

Пока жертва удерживает карту, приложенную к смартфону, злоумышленник уже будет запрашивать выдачу наличных в банкомате. Возможно использование украденных реквизитов для покупок: в момент, когда нужно будет приложить карту, мошенник просто предъявит свой телефон, который передаст цифровой отпечаток банковской карты жертвы. Подтвердить операцию он сможет полученным раннее ПИН-кодом.

Вместе с тем зловред успешно детектируется антивирусами для Android. Вендор также рекомендует устанавливать приложения только из официальных магазинов и тщательно следить за посещаемыми сайтами.

Аналогичную кампанию обнаружил в ноябре 2024 года банк ВТБ.

Операции со смартфонов, купленных с рук, могут блокировать

Банки вправе блокировать финансовые операции, если они совершаются с устройств, которые ранее использовались при мошеннических действиях. При этом такие смартфоны и другие гаджеты вполне могут позже попасть на вторичный рынок. Проблема усугубляется тем, что информация о «скомпрометированных» устройствах не является публичной — Банк России хранит её в закрытой базе с ограниченным доступом.

О существующем риске предупредил в комментарии для РИА Новости адвокат межтерриториальной коллегии адвокатов «Клишин и партнёры» Дмитрий Пашин.

«Банк имеет право заблокировать операцию с денежными средствами, если у него возникли подозрения, что она совершается в целях легализации (отмывания) доходов, полученных преступным путём, или финансирования терроризма. Подозрение у банков может вызвать любая операция, при которой перевод осуществляется с устройства, ранее использовавшегося в мошеннических целях», — пояснил юрист.

Чтобы снизить такие риски, Дмитрий Пашин рекомендует приобретать смартфоны и другие мобильные устройства только у официальных продавцов либо у тех, в отношении кого нет сомнений, что гаджет не использовался для сомнительных финансовых операций.

Дополнительную угрозу представляет и заражение мобильных устройств. Так, по данным компании F6, около 1,5% смартфонов в России содержат вредоносные приложения. Почти 90% таких случаев приходятся на два зловреда — Mamont и NFCGate различных версий. Оба используются для кражи денежных средств со счетов пользователей.

RSS: Новости на портале Anti-Malware.ru