El malware Android recientemente descubierto roba datos de tarjetas de pago utilizando el lector NFC de un dispositivo infectado y los pasa a los atacantes, una nueva técnica que efectivamente clona la tarjeta para que pueda usarse en cajeros automáticos o terminales de puntos de venta, dijo la compañía de seguridad ESET.

Los investigadores de ESET llamaron al malware NGate porque integra Puerta NFCuna herramienta de código abierto para capturar, analizar o modificar el tráfico NFC. Abreviatura de Comunicación de campo cercanoNFC es un protocolo que permite que dos dispositivos se comuniquen de forma inalámbrica en distancias cortas.

Nuevo escenario de ataque a Android

«Este es un nuevo escenario de ataque a Android, y es la primera vez que vemos malware para Android con esta capacidad utilizado en la naturaleza», dijo Lukas Stefanko, investigador de ESET, en un comunicado de prensa. video demostrando el descubrimiento. “El malware NGate puede transmitir datos NFC desde la tarjeta de una víctima a través de un dispositivo comprometido al teléfono inteligente de un atacante, quien luego puede emular la tarjeta y retirar dinero de un cajero automático. »

El malware se instaló mediante escenarios de phishing tradicionales, como enviar mensajes a objetivos y engañarlos para que instalaran NGate desde dominios efímeros que pretendían ser bancos o aplicaciones oficiales de banca móvil disponibles en Google Play. Haciéndose pasar por una aplicación legítima del banco de un objetivo, NGate solicita al usuario que ingrese el ID de cliente del banco, la fecha de nacimiento y el PIN de la tarjeta. Luego, la aplicación le pide al usuario que habilite la tecnología NFC y escanee la tarjeta.

ESET dijo que descubrió que NGate había sido utilizado contra tres bancos checos a partir de noviembre e identificó seis aplicaciones NGate distintas en circulación entre entonces y marzo de este año. Algunas de las aplicaciones utilizadas en los últimos meses de la campaña tenían la forma de PWA, abreviatura de Aplicaciones web progresivasque, como se informó el jueves, se puede instalar en dispositivos Android e iOS incluso cuando la configuración (obligatoria en iOS) impide la instalación de aplicaciones disponibles de fuentes no oficiales.

La razón más probable por la que la campaña NGate terminó en marzo, según ESET, fue la Detener La policía checa arrestó a un hombre de 22 años que llevaba una máscara mientras retiraba dinero de cajeros automáticos en Praga. Los investigadores dijeron que el sospechoso «ideó una nueva forma de estafar a la gente» utilizando un esquema que parece idéntico al que involucra a NGate.

Stefanko y su compañero investigador de ESET, Jakub Osmani, explicaron cómo funciona el ataque:

El anuncio de la policía checa reveló que el escenario del ataque comenzó cuando los atacantes enviaron mensajes de texto a víctimas potenciales sobre una declaración de impuestos, incluido un enlace a un sitio web de phishing que pretendía ser de bancos. Lo más probable es que estos enlaces condujeran a PWA maliciosas. Una vez que la víctima instaló la aplicación e ingresó sus credenciales, el atacante obtuvo acceso a su cuenta. Luego llamó a la víctima haciéndose pasar por un empleado del banco. Se informó a la víctima que su cuenta había sido comprometida, probablemente debido al mensaje de texto anterior. El atacante en realidad estaba diciendo la verdad: la cuenta de la víctima fue comprometida, pero esa verdad luego llevó a otra mentira.

Para «proteger» sus fondos, se pidió a la víctima que cambiara su PIN y verificara su tarjeta bancaria mediante una aplicación móvil: el malware NGate. Se envió un enlace para descargar NGate por SMS. Sospechamos que en la aplicación NGate, las víctimas ingresaban su antiguo PIN para crear uno nuevo y colocaban su tarjeta en la parte posterior de su teléfono inteligente para verificar o aplicar el cambio.

Como el atacante ya tenía acceso a la cuenta comprometida, podía modificar los límites de retiro. Si el método de retransmisión NFC no funcionaba, simplemente podía transferir los fondos a otra cuenta. Sin embargo, el uso de NGate facilita que el atacante acceda a los fondos de la víctima sin dejar rastro en su propia cuenta bancaria. En la Figura 6 se muestra un diagrama de la secuencia del ataque.

Los investigadores dijeron que NGate o aplicaciones similares podrían usarse en otros escenarios, como la clonación de ciertas tarjetas inteligentes utilizadas para otros fines. El ataque funcionaría copiando el identificador único de la etiqueta NFC, abreviado como UID.

«Durante nuestras pruebas, transmitimos con éxito el UID de una etiqueta MIFARE Classic 1K, que normalmente se utiliza para billetes de transporte público, tarjetas de identificación, tarjetas de membresía o de estudiante y «otros casos de uso similares», escribieron los investigadores. “Utilizando NFCGate, es posible realizar un ataque de retransmisión NFC para leer un token NFC en una ubicación y, en tiempo real, acceder a las instalaciones en otra ubicación emulando su UID, como se muestra en la Figura 7. »

La clonación puede ocurrir en situaciones en las que el atacante tiene acceso físico a una tarjeta o puede leer brevemente una tarjeta en carteras, carteras, mochilas o fundas de teléfonos inteligentes desatendidas que contienen tarjetas. Para realizar y emular dichos ataques, el atacante debe tener un dispositivo Android personalizado y rooteado. Los teléfonos infectados con NGate no tenían este requisito.