NGate: Android-Malware stiehlt Kartendaten direkt vom NFC-Chip

Eine neue Android-Malware namens NGate sorgt derzeit für Sorge in der Security-Branche. Denn der Schadcode ist in der Lage, den Nutzern relativ direkt große finanzielle Schäden zuzufügen, indem Zahlungsdaten vom NFC-Chip kopiert werden.

Mehrstufiger Angriff

Mit den gestohlenen Informationen ist es den Angreifern möglich, die Karten der Opfer zu emulieren, um unautorisierte Zahlungen durchzuführen oder Bargeld an Geldautomaten abzuheben. Die Kampagne, in der NGate eingesetzt wird, ist bereits seit November 2023 aktiv. Jetzt konnte sie von den Sicherheitsforschern von ESET analysiert werden.

Demnach nutzten die Angreifer unter anderem Progressive-Web-Apps (PWAs) und fortgeschrittene WebAPKs, um Nutzern in Tschechien die Zahlungsdaten zu stehlen. In einigen Fällen nutzten die Angreifer die NGate-Malware auch, um direkte Geldabhebungen durchzuführen, hieß es.


Der Angriff beginnt typischerweise mit Textnachrichten, automatischen Anrufen oder Werbeanzeigen, die die Opfer dazu verleiten, eine betrügerische PWA oder später eine WebAPK auf ihren Geräten zu installieren. Diese Apps werden oft als dringende Sicherheitsupdates getarnt und verwenden das offizielle Logo sowie die Anmeldeoberfläche einer Bank, um die Nutzer nicht misstrauisch werden zu lassen.

Erste Festnahme

Das Opfer wird in einem zweiten Schritt dazu gebracht, die NGate-Malware zu installieren. Nach der Installation aktiviert der Schadcode eine Open-Source-Komponente namens "NFCGate", die ursprünglich von Universitätsforschern für NFC-Tests entwickelt wurde. Diese Komponente ermöglicht es der Malware, NFC-Daten von Zahlungskarten zu erfassen und an ein System des Angreifers zu übertragen. Diese erfassten Daten können dann als virtuelle Karte auf einem Smartphone der Kriminellen gespeichert und für unautorisierte Zahlungen oder Abhebungen verwendet werden.

Die ESET-Forscher können aber auch zeigen, wie Angreifer die NFCGate-Komponente nutzen können, um Kartendaten auch ohne vorhergehende Malware-Installation sogar durch Geldbörsen oder Rucksäcke hindurch zu erfassen. Um sich vor dieser Bedrohung zu schützen, empfiehlt es sich, die NFC-Funktion auf Android-Geräten zu deaktivieren, wenn sie nicht benötigt wird.

Im Zusammenhang mit NGate gab es auch schon eine Verhaftung. In Tschechien konnte die Polizei einen mutmaßlichen Beteiligten festnehmen, als er gerade mit gestohlenen NFC-Daten an einem Geldautomaten eine Abhebung tätigte.


Siehe auch: