Cyble Research and Intelligence Labs (CRIL) ha identificado una campaña activa y evolutiva de phishing que se dirige específicamente a usuarios en Brasil. Esta campaña está asociada a una familia de malware denominada RelayNFC, diseñada para realizar ataques de retransmisión NFC con el fin de facilitar pagos sin contacto fraudulentos.
Metodología de ataque
La campaña utiliza una página web convincente en portugués que engaña a las víctimas para que instalen una aplicación bajo la promesa de proteger sus tarjetas de pago. La aplicación maliciosa captura los datos de la tarjeta y los transmite a los atacantes, permitiéndoles realizar transacciones fraudulentas.
RelayNFC es un malware ligero pero altamente evasivo debido a su carga útil compilada en Hermes. Esta característica dificulta su detección, lo que le permite operar de forma sigilosa y transmitir los datos de las tarjetas en tiempo real a un servidor controlado por el atacante.
Funcionamiento del malware
RelayNFC implementa un canal de retransmisión APDU (Application Protocol Data Unit) completo en tiempo real, lo que permite a los atacantes completar transacciones como si la tarjeta de la víctima estuviera físicamente presente.
La distribución del malware se basa completamente en el phishing. Los usuarios son engañados para descarguen RelayNFC, el cual está desarrollado con React Native y bytecode Hermes, lo que dificulta el análisis estático y ayuda a evadir la detección.
Características técnicas
- Una variante relacionada intenta implementar Host Card Emulation (HCE), lo que demuestra que el atacante está explorando técnicas alternativas de retransmisión NFC.
- Las detecciones en VirusTotal se mantienen en cero, lo que indica una visibilidad muy baja en el ecosistema de seguridad. El código sugiere una alta probabilidad de desarrollo continuo, lo que pone de manifiesto su reciente aparición y el potencial de un uso indebido generalizado.
- RelayNFC parece ser una variante recién desarrollada que utiliza el framework React Native para facilitar el fraude de retransmisión NFC.
Los pagos sin contacto, tradicionalmente considerados seguros, han cambiado su percepción a medida que los atacantes los explotan activamente. Se identificaron cinco sitios con una interfaz de usuario similar, todos ellos distribuyendo la misma aplicación maliciosa, lo que indica una operación coordinada y continua dirigida a usuarios brasileños.
RelayNFC funciona como un «lector», permitiendo al malware capturar los datos de la tarjeta de la víctima y transmitirlos al servidor del atacante. Tras la instalación, la aplicación muestra inmediatamente una pantalla de phishing que indica al usuario que toque el dispositivo con su tarjeta de pago. Una vez leídos los datos de la tarjeta, RelayNFC muestra otra pantalla de phishing que solicita a la víctima que introduzca su PIN de 4 o 6 dígitos.
Cepas de malware como Ngate, SuperCardX y PhantomCard ponen de relieve esta creciente tendencia. Estas amenazas abusan de las capacidades de la Comunicación de Campo Cercano (NFC) para interceptar o retransmitir datos de pagos sin contacto, a menudo entregados a través de sitios de phishing o impostores camuflados como servicios de confianza.
El código RelayNFC se basa en un canal de retransmisión en tiempo real que conecta el smartphone de la víctima con el servidor de comandos del atacante. Este canal utiliza una conexión WebSocket persistente para reenviar comandos APDU entre el atacante y el subsistema NFC de la víctima, convirtiendo así el dispositivo infectado en un lector NFC remoto para el atacante.
Una vez activada la conexión WebSocket, RelayNFC escucha los mensajes entrantes del servidor. Admite dos tipos principales de mensajes: un intercambio ping-pong para mantener la sesión y comandos APDU que controlan el proceso de lectura y retransmisión de tarjetas.