Лаборатория Cyble Research and Intelligence Labs (CRIL) обнаружила новую вредоносную программу для Android под названием RelayNFC, которая использует технологию Near-Field Communication (NFC) для перехвата данных бесконтактных платежей. Этот зловред специально нацелен на пользователей в Бразилии и представляет серьезную угрозу для финансовой безопасности.
Описание
RelayNFC отличается легковесной структурой и высокой способностью уклоняться от обнаружения. Ключевой особенностью является использование байт-кода Hermes для компиляции вредоносной нагрузки (payload), что значительно затрудняет статический анализ. В настоящее время антивирусные движки на VirusTotal не детектируют эту угрозу, что свидетельствует о ее свежести и потенциальной опасности.
Злоумышленники распространяют RelayNFC исключительно через фишинг. Жертвам показываются убедительные веб-страницы на португальском языке, которые предлагают установить приложение для "защиты" платежных карт. Было идентифицировано пять таких сайтов с одинаковым интерфейсом, что указывает на скоординированную операцию. Приложение запрашивает у пользователя разместить карту рядом с устройством, а затем ввести PIN-код, фактически передавая злоумышленникам полный контроль над платежными данными.
Технически RelayNFC реализует полный канал ретрансляции APDU (Application Protocol Data Unit - протокол взаимодействия между картой и терминалом) в реальном времени. Вредонос использует постоянное WebSocket-соединение для передачи команд между устройством жертвы и сервером злоумышленника. Инфицированный смартфон фактически становится удаленным NFC-ридером, позволяя атакующему проводить транзакции так, как если бы карта жертвы физически присутствовала при оплате.
Особенностью данной кампании является использование фреймворка React Native, при этом основная функциональность содержится в файле index.android.bundle, скомпилированном в байт-код Hermes. Этот подход существенно усложняет реверс-инжиниринг и скрывает логику работы вредоноса.
В ходе исследования был обнаружен связанный вариант, пытающийся реализовать технологию Host Card Emulation (HCE), которая позволяет эмулировать платежную карту средствами смартфона. Хотя данная функциональность пока не активирована, это свидетельствует о продолжении разработки и экспериментов с различными техниками NFC-атак.
Ранее уже были зафиксированы подобные угрозы, такие как Ngate, SuperCardX и PhantomCard, что подтверждает растущий интерес киберпреступников к бесконтактным платежным системам. Ситуация в Бразилии особенно тревожна, учитывая высокую популярность бесконтактных платежей в стране.
Данный случай демонстрирует необходимость усиления защитных мер на уровне устройств, повышения осведомленности пользователей и совершенствования систем мониторинга финансовыми институтами. Пользователям следует проявлять особую бдительность при установке приложений из ненадежных источников и критически оценивать предложения по "защите" платежных карт.
Эксперты рекомендуют устанавливать приложения только из официальных магазинов, регулярно обновлять операционные системы и использовать многофакторную аутентификацию для финансовых операций. Финансовым организациям следует внедрять продвинутые системы обнаружения аномалий и проводить образовательные кампании для клиентов.
Обнаружение RelayNFC подчеркивает продолжающуюся эволюцию мобильных угроз и важность проактивных мер безопасности в условиях растущей цифровизации платежных систем.
Индикаторы компрометации
