Поддельное приложение «BNM Mobile Security» под видом защитного сервиса центрального банка Малайзии считывает банковские карты через NFC — беспроводную связь на расстоянии нескольких сантиметров — и передаёт их данные злоумышленникам. Кампания активна: жертву убеждают по телефону установить программу, а затем приложить к смартфону каждую свою карту. Итог — бесконтактные покупки и снятие наличных в банкоматах за счёт владельца.
Описание
По данным MyCERT, приложение распространяют с сайта, который копирует портал регулятора по борьбе с отмыванием денег и финансированием терроризма. Домен-двойник лишь внешне похож на официальный адрес. Настоящий Bank Negara Malaysia такую программу не выпускает и на своих ресурсах не размещает. Установка идёт в обход Google Play.
Схема начинается со звонка. Звонящий представляется сотрудником центрального банка, полиции или «специалистом по противодействию отмыванию денег» и заявляет, что счёт связан с криминальными операциями. Дальше следует требование «проверить» счёт защитным приложением. Разговор держится на давлении и срочности, а не на технической правдоподобности.
Внутри приложения жертву встречают поддельные формы проверки счёта. Сначала оно собирает персональные данные — имя, номер документа, контакты. Затем «уведомление безопасности» просит ввести баланс, кредитный лимит и шестизначный PIN карты якобы для подтверждения права собственности. Баланс и лимит подсказывают, какую карту стоит использовать в первую очередь, а введённые значения уходят на тот же сервер, что и данные пластика.
Отдельный экран предлагает «привязать карту». Человека просят приложить пластик к телефону — встроенное чтение срабатывает сразу. Подсказки вроде «карта не поддерживается» заставляют повторить действие с остальными картами. Каждая бесконтактная карта, приложенная к смартфону, оказывается в зоне риска.
Телефон в этой схеме работает как платёжный терминал — приём называют «призрачным касанием». Считанные данные уходят злоумышленнику в момент прикладывания, и он проводит оплату либо готовит снятие наличных. Между звонком и первым списанием проходит немного времени.
Приложение не выбирает конкретный банк: оно работает с самой картой. Под удар попадают карты всех крупных платёжных систем и любого малайзийского эмитента. Взламывать банк не требуется — пластик считывают напрямую, а PIN жертва вводит сама, и защита мобильного банка тут не помогает.
Код приложения прикрыт коммерческим упаковщиком — он прячет реальную логику от беглого просмотра.
За интерфейсом работает нативный считыватель карт: он проводит стандартную последовательность бесконтактного чтения и передаёт команды и ответы карты на сервер по зашифрованному каналу. Содержимое обмена по сетевому трафику не видно.
Уведомление отдельно адресовано банкам. Им предлагают отслеживать всплески бесконтактных операций и снятий в банкоматах, если клиент незадолго до этого жаловался на звонок от имени регулятора. Публичной статистики о числе заражённых устройств нет.
Сколько человек установили программу и какие суммы потеряны, не сообщается. Не указано и то, ограничилась ли кампания Малайзией. Одно известно точно: официальные каналы регулятора приложение не распространяли, и вся схема держится на телефонном звонке.
Индикаторы компрометации
