Эксперты компании Group-IB раскрыли детали работы китайских киберпреступных групп, которые активно используют специализированное вредоносное ПО (malware) для Android с поддержкой NFC. Это ПО, распространяемое через Telegram, позволяет злоумышленникам дистанционно снимать деньги с банковских карт и мобильных кошельков жертв, имитируя технологию бесконтактной оплаты. Схема, известная как «Ghost Tap» («Призрачный платеж»), представляет собой новую эволюцию финансового мошенничества.
Описание
Механика атаки и масштабы угрозы
В основе схемы лежит использование двух типов приложений: «ридер» (reader), который устанавливается на устройство жертвы для считывания данных карты, и «таппер» (tapper), установленный на устройство преступника для проведения транзакций. Жертв обманом заставляют установить вредоносный APK-файл через фишинговые SMS (смишинг) или телефонные звонки (вишинг) и приложить свою банковскую карту к смартфону. После этого данные карты через управляемый злоумышленниками командный сервер (C2, Command and Control) передаются на устройство мошенника.
Затем преступники используют нелегально приобретенные POS-терминалы для обналичивания средств. Только по данным одного из каналов продажи таких терминалов в Telegram, с ноября 2024 по август 2025 года было зафиксировано мошеннических операций на сумму не менее 355 000 долларов. В альтернативном сценарии скомпрометированные карты добавляются в мобильные кошельки, которые затем используются сетями обналичивания (мулами) по всему миру для покупок в физических магазинах.
Экосистема вредоносных приложений
Исследователи Group-IB выделили трех основных поставщиков подобного ПО в китайских киберпреступных сообществах Telegram: TX-NFC, X-NFC и NFU Pay. Их каналы насчитывают тысячи подписчиков. Приложения продаются по подписке: например, доступ к TX-NFC стоит от 45 долларов за один день до 1050 долларов за три месяца.
Все приложения требуют разрешений на доступ к NFC, интернету и возможность работы в фоновом режиме. Их основная функциональность едина, хотя интерфейсы и некоторые особенности могут отличаться. Например, X-NFC и NFU Pay позволяют одному устройству работать как в режиме ридера, так и в режиме таппера. Анализ кода показал, что многие из этих приложений основаны на открытом проекте NFCProxy с GitHub, который был модифицирован в преступных целях.
Глобальная реакция и аресты
Проблема уже привлекла внимание правоохранительных органов по всему миру. В марте 2024 года в Праге был задержан человек, снимавший деньги в банкоматах без физической карты. В ноябре 2024 года в Сингапуре задержали пять человек, совершавших покупки с помощью смартфонов. В марте 2025 года в штате Теннесси, США, были арестованы 11 граждан Китая, покупавших подарочные карты на крупные суммы с использованием Android-приложений. Кроме того, о подобных схемах предупреждали ассоциации банков США и финансовые организации в Китае.
Рекомендации по защите
Финансовым институтам эксперты рекомендуют усиливать обучение клиентов, внедрять системы мониторинга мошенничества (Fraud Protection) для обнаружения вредоносных приложений и подозрительных транзакций, а также ужесточать проверки торговых точек (KYC, Know Your Customer). Физическим лицам следует проявлять крайнюю осторожность с сообщениями и звонками от неизвестных номеров, особенно касающимися финансов. Нельзя переходить по сомнительным ссылкам и устанавливать приложения из неофициальных источников. Также важно регулярно проверять настройки и выписки по банковским картам.
Угроза продолжает развиваться: с мая 2024 по декабрь 2025 года Group-IB зафиксировала устойчивый рост числа образцов такого вредоносного ПО. Появление новых вариантов при сохранении активности старых указывает на растущий интерес преступников к этой технологии. Схема «Ghost Tap» наглядно демонстрирует, как легитимные и удобные технологии, такие как бесконтактные платежи, могут быть извращены в руках киберпреступников, требуя повышенной бдительности как от финансового сектора, так и от обычных пользователей.
Индикаторы компрометации
