SuperCard X Mobile Malware: Wie eine neue Android-Bedrohung kontaktlose Zahlungen kapert

Eine neu entdeckte mobile Malware-Plattform namens SuperCard X verändert die Art und Weise, wie Cyberkriminelle Smartphones ausnutzen, und stellt Banken, Kartenaussteller und Nutzer gleichermaßen vor eine neue Herausforderung. Im Gegensatz zu herkömmlichen Banking-Trojanern oder Phishing-Betrug setzt diese Malware auf eine fortschrittlichere, subtilere und koordiniertere Angriffsmethode: die Manipulation von NFC-Relays (Near Field Communication).

SuperCard X wurde von einer chinesischsprachigen Cyberkriminellengruppe entwickelt und ist als Malware-as-a-Service (MaaS)-Angebot kategorisiert. Kurz gesagt handelt es sich um ein käufliches Toolkit für Cyberkriminalität. Durch die Nutzung der NFC-Funktionen von Android- Smartphones ermöglicht die Malware Angreifern, Kartendaten abzugreifen und betrügerische Transaktionen durchzuführen – ohne physischen Zugriff auf die Karte des Opfers.

Wie der Betrug beginnt: Social Engineering im Kern

Der Angriff beginnt mit einer überzeugenden Social-Engineering-Kampagne. Opfer erhalten irreführende Nachrichten – oft per SMS oder WhatsApp –, die angeblich von ihrer Bank stammen. Diese Nachrichten warnen vor verdächtigen Aktivitäten und fordern die Empfänger auf, eine bestimmte Nummer anzurufen. Die Dringlichkeit und der Anschein von Legitimität veranlassen viele dazu, zu handeln, ohne die Quelle der Nachricht zu überprüfen.

Was folgt, ist eine Methode, die als „Telephone-Oriented Attack Delivery“ (TOAD) bekannt ist. Während des Anrufs geben sich Betrüger als Bankvertreter aus und fordern das Opfer auf, eine angebliche Sicherheits-App zu installieren. In Wirklichkeit handelt es sich dabei um eine von mehreren getarnten Versionen der SuperCard X-Malware, beispielsweise „Verifica Carta“, „SuperCard X“ oder „KingCard NFC“.

Nach der Installation fordert die App vertrauliche Berechtigungen an und stellt eine Verbindung zum System des Angreifers her. Opfer werden manchmal dazu gebracht, ihre PINs preiszugeben oder tägliche Kontolimits aufzuheben, was den Betrug erheblich erleichtert.

NFC: Die neue Grenze für Finanzbetrug

Das Herzstück von SuperCard X ist der neuartige Einsatz von NFC-Relay-Techniken . Die Angreifer bringen ihre Opfer dazu, ihre Kredit- oder Debitkarten in die Nähe ihrer infizierten Smartphones zu halten. Die Schadsoftware liest dann unbemerkt die von der Karte übertragenen NFC-Daten und leitet sie in Echtzeit an einen externen Server weiter.

Auf der Angreiferseite emuliert eine Begleit-App – genannt „Tapper“ – die Karte mithilfe der gestohlenen Informationen. Mit diesem virtuellen Klon kann der Kriminelle dann an Geldautomaten Bargeld abheben oder an kontaktlosen Terminals bezahlen, als wäre er der rechtmäßige Karteninhaber.

Diese Methode ist besonders effektiv für kontaktlose Geldautomaten und PoS-Systeme, die zur Authentifizierung auf NFC-Daten angewiesen sind, aber nicht ohne Weiteres erkennen können, dass die Karte aus der Ferne geklont wurde.

Die Infrastruktur hinter den Kulissen

SuperCard X ist nicht nur eine App, sondern ein ganzes Betrugs-Ökosystem. Vor der Verbreitung der Malware müssen Cyberkriminelle ein Konto auf der Plattform erstellen. Jede Instanz der Malware ist mit diesem Konto verknüpft und ermöglicht so die Kommunikation zwischen dem infizierten Benutzergerät (Reader) und dem Gerät des Kriminellen (Tapper).

Interessanterweise scheint jede Reader-App für bestimmte Kampagnen angepasst zu sein, mit leichten Abweichungen in den Anmeldeoberflächen. Dies deutet darauf hin, dass die damit verbundenen Bedrohungsakteure die Apps auf verschiedene Regionen oder Institutionen zuschneiden.

Die Kommunikation zwischen Geräten wird mit Mutual TLS (mTLS) verschlüsselt, einer Weiterentwicklung der üblichen Verschlüsselungsstandards für mobile Malware. Diese zusätzliche Ebene schützt den Command-and-Control-Verkehr (C2) und hilft Angreifern, unauffällig zu bleiben.

Die weiteren Auswirkungen

Was SuperCard X besonders besorgniserregend macht, ist nicht nur ihr technischer Einfallsreichtum, sondern auch ihre Auswirkungen auf das gesamte Finanzökosystem. Indem die Technologie die traditionelle Online-Authentifizierung umgeht und direkt auf kontaktlose Infrastrukturen setzt, öffnet sie eine relativ ungeschützte Angriffsfläche.

Obwohl sich diese Kampagne bisher auf Italien konzentrierte, könnten sich die zugrunde liegenden Techniken leicht auf andere Länder ausbreiten. Zahlungsanbieter, Finanzinstitute und Entwickler mobiler Betriebssysteme sind potenzielle Akteure im Kampf gegen diese Bedrohung.

Als Reaktion darauf arbeitet Google Berichten zufolge an neuen Android-Funktionen, um solche Risiken zu minimieren. Dazu gehören Einschränkungen bei der Installation von Apps aus unbekannten Quellen oder die Erteilung sensibler Berechtigungen wie Zugriffsrechte – insbesondere während eines Telefonats, wenn TOAD-Angriffe typischerweise auftreten.

Sicherheit: Praktische Tipps für Benutzer

SuperCard X wird derzeit nicht über den Google Play Store vertrieben, stellt aber dennoch ein Risiko dar. Nutzer sollten bei der Installation von Apps von Drittanbietern vorsichtig sein, insbesondere wenn sie während eines Telefonats dazu aufgefordert werden. Hier sind einige wichtige Vorsichtsmaßnahmen:

• Vermeiden Sie die Installation von Apps aus unbekannten Quellen, es sei denn, dies ist unbedingt erforderlich.
• Seien Sie skeptisch gegenüber dringenden Nachrichten, die angeblich von Banken stammen – überprüfen Sie sie über offizielle Kanäle.
• Lassen Sie Google Play Protect aktiviert, um potenziell schädliche Apps zu erkennen.
• Überprüfen Sie App-Berechtigungen und lesen Sie Bewertungen, bevor Sie etwas Neues installieren.

SuperCard X stellt einen großen Fortschritt im Bereich des mobilen Finanzbetrugs dar und vereint Manipulation, technische Raffinesse und Tarnung. Obwohl die Malware derzeit nur begrenzt wirksam ist, sind ihre potenziellen Auswirkungen enorm. Daher sind Aufmerksamkeit und Wachsamkeit die beste erste Verteidigungslinie.