Investigadores han descubierto una campaña de crimeware que afectó a clientes de tres bancos checos. El malware, denominado NGate, permite a los atacantes transmitir datos de las tarjetas de pago de las víctimas mediante una aplicación maliciosa instalada en sus dispositivos Android, hacia un teléfono Android rooteado del atacante.
Características del malware NGate
NGate no estaba disponible en la tienda oficial Google Play. Los atacantes combinaron técnicas maliciosas estándar, como ingeniería social, phishing y malware para Android, en un escenario de ataque novedoso.
- Se sospecha que los mensajes señuelo se enviaron a números de teléfono aleatorios y captaron a clientes de tres bancos.
- Según los datos, el grupo ha operado desde noviembre de 2023 en Chequia, utilizando aplicaciones web progresivas (PWA) y WebAPK maliciosas.
- En marzo de 2024, la técnica del grupo mejoró con el despliegue del malware para Android NGate.
- Los atacantes fueron capaces de clonar los datos NFC de las tarjetas de pago físicas de las víctimas utilizando NGate y retransmitir estos datos a un dispositivo atacante que luego fue capaz de emular la tarjeta original y retirar dinero de un cajero automático.
- No es necesario que las víctimas tengan root en sus dispositivos.
Mecanismo del ataque
El objetivo principal de esta campaña era facilitar la retirada no autorizada de dinero de las cuentas bancarias de las víctimas. Esto se logró transmitiendo los datos de comunicación de campo cercano (NFC) de las tarjetas de pago físicas de las víctimas, a través de sus smartphones Android comprometidos mediante el malware NGate, al dispositivo del atacante.
Si este método fallaba, el atacante tenía un plan alternativo para transferir fondos de las cuentas de las víctimas a otras cuentas bancarias. Hasta el momento no se había visto esta novedosa técnica de retransmisión NFC en ningún malware para Android descubierto anteriormente.
Origen y funcionamiento de la herramienta NFCGate
La técnica se basa en una herramienta llamada NFCGate, diseñada por estudiantes de la Universidad Técnica de Darmstadt, Alemania, para capturar, analizar o alterar el tráfico NFC. Por ello, los investigadores han denominado NGate a esta nueva familia de malware.
La herramienta NFCGate fue desarrollada por estudiantes del Secure Mobile Networking Lab de la Technical University of Darmstadt, Alemania, y está disponible en GitHub. La función principal de NFCGate es transmitir una señal NFC desde un dispositivo Android a través de un servidor a otro dispositivo Android que pueda imitarla o emularla.
Modo de infección
Las víctimas descargaban e instalaban el malware tras ser engañadas haciéndoles creer que se estaban comunicando con su banco y que su dispositivo estaba en peligro. En realidad, las víctimas habían comprometido sin saberlo sus propios dispositivos Android al descargar e instalar previamente una aplicación desde un enlace en un mensaje SMS engañoso sobre una posible devolución de impuestos.
Tras ser instalado y abierto, NGate muestra un sitio web falso que solicita la información bancaria del usuario, que es enviada al servidor del atacante. Además de sus funciones de phishing, el malware NGate también incluye una herramienta llamada NFCGate, que se utiliza indebidamente para transmitir datos NFC entre dos dispositivos: el de la víctima y el del agresor.