Neue Technik von Cyberkriminellen: Kartendaten der Opfer werden auf eigene Smartphones übertragen

Forscher von ESET haben eine Schadsoftware-Kampagne aufgedeckt, die auf Kunden von drei tschechischen Banken abzielte. Die Angreifer kombinierten Techniken aus Social Engineering, Phishing und Android-Malware in einem neuen Angriffsszenario.

ESET geht davon aus, dass Nachrichten, die tschechische Banken imitierten, an zufällige Telefonkunden in Tschechien gesendet wurden und die Angreifer dadurch Kunden der drei Banken in ihre Falle lockten. Die Täter konnten die NFC-Daten von den physischen Zahlungskarten der Opfer kopieren und auf das Gerät des Angreifers übertragen, um die Originalkarte zu emulieren und Geld an einem Geldautomaten abzuheben.

Die von ESET als NGate bezeichnete Schadsoftware verfügt über die einzigartige Fähigkeit, Daten von den Zahlungskarten der Opfer über eine auf Android-Geräten installierte bösartige App auf das gerootete Android-Telefon des Angreifers zu übertragen. Das Hauptziel der kriminellen Kampagne ist es, unbefugte Bargeldabhebungen an Geldautomaten von den Bankkonten der Opfer zu erleichtern. Dieser illegale Vorgang wurde durchgeführt, indem die Near-Field-Communication-Daten (NFC) der physischen Zahlungskarten der Opfer mithilfe der NGate-Android-Malware über infizierte Android-Smartphones auf das Gerät des Angreifers übertragen wurden. Der Angreifer nutzte diese Daten anschließend, um die Geldautomaten-Transaktionen durchzuführen. Sollte diese Methode fehlschlagen, wurde festgestellt, dass der Angreifer einen Notfallplan erstellt hatte, um Geld von den Konten der Opfer auf andere Bankkonten zu überweisen.

Lukáš Štefanko, der die neue Bedrohung und Technik entdeckte, erklärte: „Wir haben diese neue NFC-Relay-Technik bei keiner zuvor entdeckten Android-Malware gesehen. Die Technik basiert auf einem Tool namens NFCGate, das von Studenten der Technischen Universität Darmstadt entwickelt wurde, um NFC-Datenverkehr abzufangen, zu analysieren oder zu verändern; daher haben wir diese neue Malware-Familie NGate genannt.“ Die Opfer wurden getäuscht, indem sie glaubten, mit ihrer Bank zu kommunizieren und ihre Geräte seien gefährdet, woraufhin sie die Schadsoftware herunterluden und installierten. In Wirklichkeit gefährdeten die Opfer ihre eigenen Android-Geräte unwissentlich, indem sie eine App über einen Link in einer betrügerischen SMS-Nachricht herunterluden und installierten, die eine potenzielle Steuerrückerstattung vortäuschte.

NGATE WAR NIEMALS IM OFFIZIELLEN GOOGLE PLAY STORE VERFÜGBAR

Die NGate-Android-Malware steht im Zusammenhang mit den Phishing-Aktivitäten eines Bedrohungsakteurs, der seit November 2023 in Tschechien operiert. ESET geht jedoch davon aus, dass diese Aktivitäten nach der Verhaftung eines Verdächtigen im März 2024 eingestellt wurden. ESET Research wurde erstmals Ende November 2023 auf den Bedrohungsakteur aufmerksam, der es auf Kunden führender tschechischer Banken abgesehen hatte. Die Schadsoftware wurde über kurzlebige Domains verbreitet, die legitime Bank-Websites oder offizielle mobile Banking-Apps aus dem Google Play Store imitierten. Diese gefälschten Domains wurden über den ESET Brand Intelligence Service erkannt, der die Überwachung von Bedrohungen ermöglicht, die auf die Marke eines Kunden abzielen. Im selben Monat informierte ESET seine Kunden über die Ergebnisse.

Wie ESET in einer früheren Veröffentlichung berichtete, nutzten die Angreifer das Potenzial von Progressive Web Apps (PWAs), entwickelten ihre Strategie jedoch später weiter, indem sie eine ausgefeiltere Version von PWAs, die sogenannten WebAPKs, verwendeten. Schließlich gipfelte die Operation in der Verbreitung der NGate-Malware.

ESET Research entdeckte im März 2024, dass die NGate-Android-Malware auf denselben Verteilungsdomains verfügbar wurde, die zuvor zur Erleichterung von Phishing-Kampagnen mit bösartigen PWAs und WebAPKs genutzt wurden. Nach der Installation und dem Öffnen zeigt NGate eine gefälschte Website an, die die Bankdaten des Benutzers abfragt, welche anschließend an den Server des Angreifers gesendet werden.

Zusätzlich zu den Phishing-Funktionen wird die NGate-Malware mit einem Tool namens NFCGate geliefert, das missbraucht wird, um NFC-Daten zwischen zwei Geräten (dem Gerät des Opfers und dem Gerät des Täters) zu übertragen. Einige dieser Funktionen funktionieren nur auf gerooteten Geräten, aber in diesem Fall ist es möglich, den NFC-Datenverkehr auch von nicht gerooteten Geräten zu übertragen. NGate fordert die Opfer außerdem auf, sensible Informationen wie Bank-Kundennummern, Geburtsdaten und die PIN ihrer Bankkarte einzugeben. Zudem werden sie aufgefordert, die NFC-Funktion auf ihrem Smartphone zu aktivieren und ihre Zahlungskarte so lange an die Rückseite ihres Smartphones zu halten, bis die bösartige App die Karte erkennt.

Zusätzlich zu der von der NGate-Malware verwendeten Technik könnte ein Angreifer mit physischem Zugriff auf Zahlungskarten diese potenziell kopieren und emulieren. Diese Technik kann von einem Angreifer verwendet werden, der versucht, Karten an öffentlichen und überfüllten Orten aus unbeaufsichtigten Taschen, Geldbörsen, Rucksäcken oder Smartphone-Hüllen auszulesen. Dieses Szenario ist jedoch meist auf kleine kontaktlose Zahlungen an Terminals beschränkt.

Nachrichtenquelle: 12punto