PhantomCard marchează o nouă etapă periculoasă. Este un troian Android conceput să exploateze tehnologia NFC a cardurilor contactless, pentru a transmite datele acestora direct către un atacator aflat oriunde în lume. Practic, cardul victimei devine „utilizabil” de la distanță, ca și cum ar fi în mâinile infractorului.
Ținta principală
- Clienți de mobile banking din Brazilia
- Posibilitate de adaptare la piețe din întreaga lume
Atacatorii folosesc un mecanism de tip Malware-as-a-Service, ceea ce înseamnă că orice grup infracțional poate închiria sau cumpăra kitul pentru propriile campanii.
Cum funcționează atacul
- Distribuție – Aplicația se prezintă drept „Proteção Cartões” pe pagini false, care imită Google Play, completate cu recenzii pozitive fabricate.
- Interacțiunea cu victima – După instalare, utilizatorul este invitat să atingă cardul de spatele telefonului „pentru verificare”.
- Transmiterea datelor – Aplicația citește informațiile NFC și le trimite unui server controlat de atacatori.
- Furtul PIN-ului – Solicită codul PIN pentru autentificarea tranzacțiilor.
- Frauda efectivă – Atacatorul folosește un dispozitiv propriu, conectat la un POS sau ATM, pentru a efectua plăți sau retrageri ca și cum ar avea cardul fizic.
Originea
Investigația arată că PhantomCard este dezvoltat de gruparea chineză NFU Pay, fiind ulterior personalizat și revândut de un actor din Brazilia cunoscut ca „Go1ano developer”. Acesta acționează ca „revânzător serial”, distribuind și alte familii de malware precum BTMOB sau GhostSpy.
Detalii tehnice
- Țintește cardurile EMV bazate pe standardul ISO-DEP (ISO 14443-4).
- Identifică directoarele de plată, cum ar fi 2PAY.SYS.DDF01.
- Utilizează o bibliotecă pentru parsarea datelor și transmiterea lor către un server C2.
- Necesită o aplicație criminală separată pe partea „mule”-ului pentru finalizarea tranzacțiilor.
De ce este greu de detectat
Tranzacțiile par a proveni de pe cardul real, confirmate prin PIN. Doar analiza atentă a metadatelor (locație, comerciant) poate ridica semnale de alarmă. Instituțiile financiare trebuie să monitorizeze astfel de amenințări și să educe clienții în privința aplicațiilor care cer apropierea cardului de telefon „pentru securitate”.
Concluzie
PhantomCard arată cât de sofisticată a devenit criminalitatea cibernetică pe mobil. Cu infrastructura „închiriată” și distribuție adaptată local, astfel de amenințări se pot răspândi rapid la nivel global. Prevenția, educația utilizatorilor și monitorizarea continuă rămân cele mai eficiente arme împotriva acestor atacuri.
Sursa: ThreadFabric
