Мобильные финансовые угрозы продолжают усложняться. Примером служит эволюция трояна NFCShare, который ранее нацеливался на клиентов Deutsche Bank, а теперь расширил географию на итальянские и европейские банки. Вредоносная программа похищает данные платёжных карт через NFC-считыватель и мошеннически собирает PIN-код жертвы. Новая волна атак отличается усилением защиты от анализа, что затрудняет работу автоматических детекторов.
Описание
В январе 2026 года исследователи зафиксировали первую версию NFCShare, замаскированную под обновление банковского приложения. Тогда троян распространялся через фишинговую страницу, имитирующую Deutsche Bank. Пользователю предлагали приложить карту к смартфону якобы для верификации, а затем ввести PIN. Теперь же атакующие переключились на итальянские бренды.
С 14 мая 2026 года в сети появились новые образцы NFCShare. Фишинговая кампания начинается с поддельного сайта areaclienti-intesa.com, копирующего дизайн портала Intesa Sanpaolo. После ввода учётных данных для входа в домашний банкинг жертву просят обновить банковское приложение. Сайт перенаправляет пользователя на сокращённую ссылку (например, https://tinyurl[.]com/Intesa-Carte), ведущую на вредоносный APK, размещённый в репозитории GitHub antoniocastaldo1998/app-scuola. Судя по истории коммитов, злоумышленники активно обновляли файлы: с 10 апреля по 5 июня в репозитории появилось 56 уникальных вредоносных сборок.
Имена APK соответствуют банкам: Intesa Carte.apk, Sella Carte.apk, Banca Sella Carte.apk, Klirway Carte.apk, BCC Roma Carte.apk, Fideuram Carte.apk, Mooney Carte.apk, Nexi Carte.apk, а также испанские CaixaBank.apk и CaixaBankNfc.apk. Каждая версия рассчитана на конкретную кредитную организацию.
Важно отметить, что репозиторий замаскирован под школьный проект с безобидным описанием "app-scuola" (школьное приложение) и коротким README. Аналитики выяснили, что злоумышленники также могли использовать дополнительные социальные атаки: от имени банковского оператора они звонили или писали жертве, инструктируя, как включить установку из неизвестных источников и вручную загрузить APK.
Основная функциональность трояна не изменилась. После установки программы она показывает в WebView поддельную форму верификации карты. Интерфейс на португальском языке просит пользователя поднести карту к задней панели устройства. Нативный код использует NFC-протокол IsoDep для отправки EMV-команды SELECT PPSE (00 A4 04 00 0E 32 50 41 59 2E 53 59 53 2E 44 44 46 30 31 00). Считанные данные - номер карты, срок действия и тип - упаковываются в строку вида "номер_карты & тип_карты & метка & MM/yy". Затем программа просит ввести 4-значный PIN, который добавляется во второе поле и отправляется повторно. Вся информация уходит на командный сервер через протокол WebSocket.
Эволюция коснулась уровня защиты. В новых образцах количество DEX-файлов увеличилось с 8 до 10. Главное изменение - малформированные ZIP-пути внутри APK. Архив содержит около 159 записей с ошибочными абсолютными путями, например /AndroidManifest.xml/ или /classes.dex/. Простые распаковщики пытаются записать эти файлы в корневую директорию, что вызывает ошибку "Read-only file system". Это не мешает ручному анализу, но нарушает работу автоматических статических анализаторов и снижает точность классификаторов. Как следствие, семейная принадлежность может быть неверно определена.
Несмотря на нововведения, внутренние маркеры однозначно указывают на NFCShare. Пакет приложения com.modol.nap, главная активность nfc.share.itnamteis.MainActivity, энум MqttChannel с каналами CARD_INFO_CHANNEL, SEND_CHANNEL и другими, а также использование библиотеки NPStringFog с ключом itnewpag - всё это осталось неизменным. Командный сервер сменился: вместо ws://38.47.213[.]197:7068 теперь используется ws://nfck.loseyourip[.]com:8001.
Выводы специалистов однозначны: возможности вредоносной программы не претерпели кардинальных изменений. Главный прирост получила операционная устойчивость - частая смена брендов, постоянные пересборки APK, хостинг в открытом репозитории под видом учебного проекта и намеренное искажение структуры архива. Для защитников это означает, что полагаться на имена файлов или адреса C2 больше нельзя. Надёжными индикаторами остаются внутренний код, сочетание NFC-чтения с фишинговым WebView и характерное повреждение ZIP-структуры. Именно эти признаки помогут выявить даже свежие сборки опасного трояна.
Индикаторы компрометации
