Onderzoekers hebben Androidmalware ontdekt die NFC-verkeer van slachtoffers onderschept en doorstuurt naar een aanvaller, die bij een geldautomaat staat en zo geld van de rekening van het slachtoffer pint. Dat laat antivirusbedrijf ESET in een analyse weten. Ook de Tsjechische politie waarschuwt voor de malware.

De aanval begint met een malafide sms-bericht dat slachtoffers ontvangen en over belastingteruggave gaat. De link in het sms-bericht wijst naar een phishingsite die op de website van een Tsjechische bank lijkt. Via deze site worden slachtoffers vermoedelijk verleid tot het installeren van een progressive web app (PWA), aldus ESET. Een progressive web app is een type applicatie dat via het web wordt aangeboden en gebruikmaakt van bekende webtechnologieën zoals HTML, CSS, JavaScript en WebAssembly. Het werkt daarbij op de meeste browsers.

Zodra het slachtoffer de app geïnstalleerd heeft vraagt die om gegevens voor internetbankieren. Met de ingevulde inloggegevens krijgt de aanvaller toegang tot de rekening van het slachtoffer. Vervolgens belt de aanvaller het slachtoffer en doet zich daarbij voor als bankmedewerker. De aanvaller laat het slachtoffer weten dat zijn rekening is gecompromitteerd, vermoedelijk via een sms-bericht.

Om het geld op de rekening "te beschermen" wordt het slachtoffer gevraagd zijn pincode te wijzigen en zijn pinpas via een mobiele app te verifiëren. In werkelijkheid is dit de NGate-malware. Een link om deze malware te downloaden wordt via sms naar slachtoffers gestuurd. De NGate-malware vraagt slachtoffers om allerlei informatie, zoals klant-ID, geboortedatum en pincode van de betaalpas.

Vervolgens vraagt de malware aan slachtoffers om de NFC-functie van hun smartphones in te schakelen en dan de pinpas op de telefoon te plaatsen totdat de malware de pinpas herkent. In werkelijkheid stuurt de malware NFC-data van de pinpas van het slachtoffer via een server naar een Androidtelefoon van de aanvaller. Hierdoor kan de aanvaller de pinpas van het slachtoffer op zijn eigen telefoon emuleren en zo bij geldautomaten die NFC ondersteunen geld van de rekening van het slachtoffer opnemen.

"Als het slachtoffer de instructies van NGate volgt, zorgt het ervoor dat de aanvaller het NFC-verkeer van de pinpas van het slachtoffer kan relayen. Dit zorgt ervoor dat de aanvaller met de financiële informatie van het slachtoffer geld kan opnemen of bij contactloze pinautomaten betalingen kan doen", aldus onderzoeker Lukas Stefanko.

Hij merkt op dat het de eerste keer is dat ESET een dergelijke NFC-relaytechniek door malware gebruikt ziet worden. De techniek is gebaseerd op een tool genaamd NFCGate, ontwikkeld door studenten van de Technische Universiteit van Darmstadt. Via de tool is het mogelijk om NFC-verkeer te onderscheppen, analyseren en aan te passen. In deze zaak heeft de Tsjechische politie een 22-jarige verdachte aangehouden. Daarnaast kon het contant opgenomen geld van drie slachtoffers worden veiliggesteld.