SuperCard X mobiele malware: hoe een nieuwe Android-dreiging contactloze betalingen kaapt

Een nieuw ontdekt mobiel malwareplatform, SuperCard X genaamd, herdefinieert de manier waarop cybercriminelen smartphones misbruiken en vormt een nieuwe uitdaging voor banken, kaartuitgevers en gebruikers. In tegenstelling tot traditionele bankingtrojans of phishing-scams introduceert deze malware een geavanceerdere, subtielere en gecoördineerde aanvalsmethode: manipulatie van Near Field Communication (NFC).

SuperCard X, ontwikkeld door een Chineestalige cybersecurity-organisatie, is gecategoriseerd als een malware-as-a-service (MaaS)-dienst. Kortom, het is een toolkit voor cybercriminaliteit die je kunt inhuren. Door gebruik te maken van de NFC-functionaliteit van Android- smartphones, stelt de malware aanvallers in staat kaartgegevens te bemachtigen en frauduleuze transacties uit te voeren – zonder fysieke toegang tot de kaart van het slachtoffer.

Hoe de oplichting begint: social engineering in de kern

De aanval begint met een overtuigende social engineeringcampagne. Slachtoffers ontvangen misleidende berichten – vaak via sms of WhatsApp – die beweren van hun bank afkomstig te zijn. Deze berichten waarschuwen voor verdachte activiteiten en sporen de ontvanger aan een specifiek nummer te bellen. De urgentie en schijn van authenticiteit zetten velen ertoe aan actie te ondernemen zonder de bron van het bericht te verifiëren.

Wat volgt is een methode die bekend staat als Telephone-Oriented Attack Delivery (TOAD). Tijdens het gesprek doen oplichters zich voor als bankmedewerkers en instrueren ze het slachtoffer om wat ze beweren een beveiligingsapp te installeren. In werkelijkheid is het een van de vele vermomde versies van de SuperCard X-malware, zoals "Verifica Carta", "SuperCard X" of "KingCard NFC".

Na installatie vraagt de app om gevoelige toestemmingen en maakt een verbinding met het systeem van de aanvaller. Slachtoffers worden soms overgehaald om hun pincode te onthullen of de dagelijkse accountlimieten te verwijderen, wat fraude veel gemakkelijker maakt.

NFC: de nieuwe grens voor financiële fraude

Het belangrijkste kenmerk van SuperCard X is het nieuwe gebruik van NFC-relaytechnieken . De aanvallers overtuigen slachtoffers om hun creditcard of betaalpas fysiek in de buurt van hun geïnfecteerde telefoon te houden. De malware leest vervolgens onopvallend de NFC-gegevens die door de kaart worden verzonden en stuurt deze in realtime door naar een externe server.

Aan de kant van de aanvaller emuleert een bijbehorende app, bijgenaamd "Tapper", de kaart met behulp van de gestolen informatie. De crimineel kan deze virtuele kloon vervolgens gebruiken om geld op te nemen bij geldautomaten of te betalen bij contactloze terminals alsof hij de legitieme kaarthouder is.

Deze methode is vooral effectief bij contactloze geldautomaten en PoS-systemen, die afhankelijk zijn van NFC-gegevens voor authenticatie, maar niet eenvoudig kunnen detecteren dat de kaart op afstand is gekloond.

De infrastructuur achter de schermen

SuperCard X is niet zomaar één app, het is een compleet fraude-ecosysteem. Voordat cybercriminelen de malware verspreiden, moeten ze een account aanmaken op het platform. Elk exemplaar van de malware is gekoppeld aan dit account, waardoor communicatie mogelijk is tussen het geïnfecteerde apparaat van de gebruiker (Reader) en het apparaat van de crimineel (Tapper).

Interessant genoeg lijkt elke Reader-app te zijn aangepast voor specifieke campagnes, met kleine variaties in hun inloginterfaces. Dit suggereert dat aanverwante hackers de apps afstemmen op verschillende regio's of instellingen.

Communicatie tussen apparaten wordt versleuteld met Mutual TLS (mTLS) , een stap verder dan de gebruikelijke versleutelingsstandaarden in mobiele malware. Deze extra laag helpt aanvallers onopgemerkt te blijven door hun command-and-control (C2)-verkeer te beschermen.

De bredere implicaties

Wat SuperCard X zo zorgwekkend maakt, is niet alleen de technische vindingrijkheid, maar ook de implicaties voor het bredere financiële ecosysteem. Door traditionele online authenticatie te omzeilen en direct over te stappen op contactloze infrastructuur, opent het een relatief onbeschermd aanvalsoppervlak.

Hoewel deze campagne tot nu toe gericht was op Italië, zouden de onderliggende technieken zich gemakkelijk naar andere landen kunnen verspreiden. Betaalaanbieders, financiële instellingen en ontwikkelaars van mobiele besturingssystemen zijn allemaal potentiële belanghebbenden in de strijd tegen deze dreiging.

Als reactie hierop werkt Google naar verluidt aan nieuwe Android-functies om dergelijke risico's te beperken. Deze omvatten beperkingen op het installeren van apps van onbekende bronnen of het verlenen van gevoelige rechten zoals toegankelijkheidstoegang, met name tijdens een telefoongesprek, wanneer TOAD-aanvallen vaak voorkomen.

Veilig blijven: praktische tips voor gebruikers

Op dit moment wordt SuperCard X niet via de Google Play Store gedistribueerd, maar dat betekent niet dat er geen risico is. Gebruikers moeten voorzichtig zijn met het installeren van apps van derden, vooral als ze daartoe worden gevraagd tijdens een telefoongesprek. Hier zijn een paar belangrijke voorzorgsmaatregelen:

• Installeer geen apps van onbekende bronnen, tenzij dit absoluut noodzakelijk is.
• Wees sceptisch over dringende berichten die afkomstig lijken te zijn van banken. Controleer ze via de officiële kanalen.
• Houd Google Play Protect ingeschakeld om mogelijk schadelijke apps te detecteren.
• Controleer de app-machtigingen nauwkeurig en lees beoordelingen voordat u iets nieuws installeert.

SuperCard X vertegenwoordigt een sprong voorwaarts in mobiele financiële fraude, waarbij manipulatie, technische verfijning en stealth worden gecombineerd. Hoewel de malware momenteel beperkt is in omvang, is de potentiële impact enorm. Bewustzijn en waakzaamheid zijn daarom de beste eerste verdedigingslinies.