SuperCard X Mobile Malware: Hvordan en ny Android-trussel kaprer kontaktløse betalinger

En nyoppdaget mobil plattform for skadelig programvare kjent som SuperCard X redefinerer måten nettkriminelle utnytter smarttelefoner på, og utgjør en ny utfordring for både banker, kortutstedere og brukere. I motsetning til tradisjonelle banktrojanere eller phishing-svindel, introduserer denne skadelige programvaren en mer avansert, subtil og koordinert angrepsmetode: nærfeltskommunikasjon (NFC) relémanipulasjon.

Utviklet av en kinesisktalende trusselgruppe, er SuperCard X kategorisert som et malware-as-a-service (MaaS)-tilbud. Kort sagt, det er et verktøysett for nettkriminalitet til leie. Ved å utnytte NFC-funksjonene i Android- smarttelefoner, gjør skadelig programvare det mulig for angripere å fange opp kortdata og utføre uredelige transaksjoner – uten fysisk tilgang til offerets kort.

Hvordan svindelen starter: Sosialteknikk i kjernen

Angrepet begynner med en overbevisende sosial ingeniørkampanje. Ofre blir sendt villedende meldinger – ofte via SMS eller WhatsApp – som hevder å være fra banken deres. Disse meldingene advarer om mistenkelig aktivitet og ber mottakerne om å ringe et bestemt nummer. At det haster og ser ut til å være legitim, får mange til å handle uten å bekrefte kilden til meldingen.

Det som følger er en metode kjent som telefonorientert angrepslevering (TOAD). Under samtalen utgir svindlere seg som bankrepresentanter og ber offeret installere det de hevder er en sikkerhetsapp. I virkeligheten er det en av flere forkledde versjoner av SuperCard X malware, for eksempel «Verifica Carta», «SuperCard X» eller «KingCard NFC».

Når den er installert, ber appen om sensitive tillatelser og etablerer en kobling med angriperens system. Ofre blir noen ganger overtalt til å avsløre PIN-kodene sine eller fjerne daglige kontogrenser, noe som gjør svindel mye enklere.

NFC: The New Frontier for Financial Fraud

Midtpunktet i SuperCard Xs evne er dens nye bruk av NFC-reléteknikker . Angriperne overbeviser ofrene om fysisk å plassere kreditt- eller debetkort i nærheten av de infiserte telefonene deres. Skadevaren leser deretter NFC-dataene som overføres av kortet, og videresender dem til en ekstern server i sanntid.

På angriperens side emulerer en medfølgende app – kallenavnet «Tapper» – kortet ved å bruke den stjålne informasjonen. Den kriminelle kan deretter bruke denne virtuelle klonen til å ta ut kontanter i minibanker eller betale på kontaktløse terminaler som om de var den legitime kortinnehaveren.

Denne metoden er spesielt effektiv for kontaktløse minibanker og PoS-systemer, som er avhengige av NFC-data for autentisering, men som ikke enkelt kan oppdage at kortet har blitt klonet eksternt.

Infrastrukturen bak kulissene

SuperCard X er ikke bare én app – det er et helt svindeløkosystem. Før de distribuerer skadelig programvare, må nettkriminelle opprette en konto på plattformen. Hver forekomst av skadelig programvare er knyttet til denne kontoen, noe som muliggjør kommunikasjon mellom den infiserte brukerenheten (Reader) og den kriminelles enhet (Tapper).

Interessant nok ser hver Reader-app ut til å være tilpasset for spesifikke kampanjer, med små variasjoner i påloggingsgrensesnittene. Dette tyder på at tilknyttede trusselaktører skreddersyr appene for å målrette mot ulike regioner eller institusjoner.

Kommunikasjon mellom enheter er kryptert ved hjelp av gjensidig TLS (mTLS) , et steg opp fra de vanlige krypteringsstandardene som sees i mobil malware. Dette ekstra laget hjelper angripere med å holde seg under radaren ved å beskytte deres kommando-og-kontroll (C2) trafikk.

De bredere implikasjonene

Det som gjør SuperCard X spesielt bekymrende er ikke bare dets tekniske oppfinnsomhet, men dets implikasjoner for det bredere økonomiske økosystemet. Ved å omgå tradisjonell online autentisering og gå rett for kontaktløs infrastruktur, åpner det opp for en relativt ubevoktet angrepsoverflate.

Selv om denne kampanjen så langt har vært fokusert på Italia, kan de underliggende teknikkene lett spre seg til andre land. Betalingsleverandører, finansinstitusjoner og mobile OS-utviklere er alle potensielle interessenter i kampen for å begrense denne trusselen.

Som svar jobber Google angivelig med nye Android-funksjoner for å redusere slike risikoer. Disse inkluderer restriksjoner på å installere apper fra ukjente kilder eller gi sensitive tillatelser som tilgjengelighetstilgang – spesielt under en samtale når TOAD-angrep vanligvis forekommer.

Hold deg trygg: Praktiske tips for brukere

På dette tidspunktet distribueres ikke SuperCard X via Google Play Store, men det betyr ikke at det ikke er en risiko. Brukere bør være forsiktige med å installere apper fra tredjepartskilder, spesielt hvis de blir bedt om å gjøre det under en telefonsamtale. Her er noen viktige forholdsregler:

• Unngå å installere apper fra ukjente kilder med mindre det er absolutt nødvendig.
• Vær skeptisk til hastemeldinger som hevder å være fra banker – bekreft dem gjennom offisielle kanaler.
• Hold Google Play Protect aktivert for å oppdage potensielt skadelige apper.
• Undersøk apptillatelser og sjekk anmeldelser før du installerer noe nytt.

SuperCard X representerer et sprang fremover innen mobilaktivert økonomisk svindel, som blander manipulasjon, teknisk sofistikering og sniking. Selv om skadevaren for øyeblikket er begrenset i omfang, er dens potensielle virkning enorm – noe som gjør bevissthet og årvåkenhet til de beste første forsvarslinjene.