Nuevo malware NFCShare para Android distribuido a través de versiones armadas de las aplicaciones bancarias de Egitimate

Una cepa recientemente evolucionada de malware para Android conocida como NFCShare se está propagando a través de versiones falsas de aplicaciones bancarias legítimas, poniendo en grave riesgo a los usuarios de dispositivos móviles en toda Europa. El malware está diseñado para robar en secreto datos de tarjetas de pago utilizando el chip NFC de un teléfono y se ha convertido en una campaña mucho más amplia y coordinada que cuando apareció por primera vez.

El malware utiliza una pantalla de verificación de tarjeta falsa para engañar a las víctimas y hacer que acerquen su tarjeta de pago al teléfono, capturando los datos de la tarjeta a través de NFC y enviándolos a un servidor controlado por el atacante. Los APK maliciosos llevan nombres que imitan aplicaciones bancarias reales, como Intesa Carte.apk, Sella Carte.apk, Klirway Carte.apk, Nexi Carte.apk y CaixaBank.apk, entre otros. Una vez que la víctima coloca su tarjeta cerca del teléfono, el malware utiliza el lector NFC de Android para extraer los datos mediante un comando de protocolo EMV estándar.

Se recomienda a los analistas utilizar herramientas capaces de manejar estructuras ZIP no estándar, como apkInspector de código abierto, que puede recuperar marcadores de familia e identificar el malware incluso cuando fallan los extractores estándar. Indicadores de compromiso (IoC): tipo de indicador y descripción incluyen nombre de paquete com.modol.nap, observado en todas las muestras de NFCShare, namespace nfc.share.itnamteis como marcador de atribución familiar, servidores C2 como ws://38[.]47[.]213[.]197:7068/ y ws://nfck[.]loseyourip[.]com:8001/, además de repositorios y dominios de phishing como github.com/antoniocastaldo1998/app-scuola, areaclienti-intesa[.]com y enlaces cortos como tinyurl.com/Intesa-Carte. También se han observado múltiples archivos APK maliciosos con sus respectivos hashes MD5 y SHA-256 asociados a distintas variantes de la campaña.

Nota: las direcciones IP y algunos dominios se muestran ofuscados intencionalmente. La publicación “Nuevo malware NFCShare para Android distribuido a través de versiones armadas de aplicaciones bancarias legítimas” apareció por primera vez en Cyber Security News.

Consultar publicación original ↗