NFC: Ausgeklügelte Android-Malware klaut Geld von Bankkunden

Sicherheitsforscher haben eine neue Android-Schadsoftware ent­deckt, die gezielt Bankkunden ins Visier nimmt. Der Trojaner mit dem Namen PhantomCard nutzt die Nahfeldkommunikation (NFC), um sogenannte Relay-Angriffe durchzuführen.

Nutzer werden fehlgelockt

Entwickelt wurde die Schadsoftware offenbar auf Basis eines in China angebotenen "Malware-as-a-Service"-Dienstes namens NFU Pay, der auf Telegram beworben wird. Laut des niederländischen Sicherheitsunternehmen ThreatFabric wird PhantomCard über gefälschte Google-Play-Webseiten verbreitet, die angebliche Apps zum Schutz von Zahlungskarten anbieten. Diese Seiten enthalten gefälschte positive Bewertungen, um potenzielle Opfer zur Installation zu verleiten. Vermutlich erfolgt die Verbreitung über SMS-Phishing oder ähnliche Sozial-Engineering-Methoden.

Nach der Installation fordert die App die Nutzer auf, ihre Kredit- oder Debitkarte an die Rückseite des Smartphones zu halten, angeblich zur Authentifizierung. In Wahrheit werden die Kartendaten in Echtzeit an einen Server des Angreifers weitergeleitet. Zusätzlich bittet die App um die Eingabe der PIN - wodurch Kriminelle die Karte an einem beliebigen NFC-fähigen Kassenterminal oder Geldautomaten so nutzen können, als hätten sie diese physisch in der Hand.


ThreatFabric berichtet, dass es eine zweite App gibt, die auf den Geräten sogenannter "Money Mules" installiert wird. Diese empfängt die gestohlenen Kartendaten und leitet sie an das jeweilige Terminal weiter. Aktuell wurde die Malware vor allem in Brasilien in freier Wildbahn beobachtet. Dahinter steht offenbar ein bekannter Entwickler, der schon andere Android-Bedrohungen wie BTMOB und GhostSpy an kriminelle Akteure verkauft hat.

Ein wachsendes Problem

NFC-Relay-Angriffe stellen nicht nur in Brasilien ein wachsendes Problem dar. In Südostasien, insbesondere auf den Philippinen, nutzen Cyberkriminelle ähnliche Werkzeuge wie SuperCard X, KingNFC oder Z-NFC, um gestohlene Kartendaten zu klonen und unbemerkt Transaktionen durchzuführen. In Regionen, in denen kontaktlose Zahlungen zunehmen und kleinere Beträge oft ohne PIN-Abfrage genehmigt werden, sind solche Angriffe besonders schwer zu erkennen.

Die Enthüllung von PhantomCard verdeutlicht einmal mehr, wie internationale Malware-Dienste regional neue Angriffsmöglichkeiten schaffen, die genau auf die dortigen Sicherheits-Architekturen abgestimmt sind. Sicherheitsexperten warnen, dass Finanzinstitute weltweit ihre Überwachung auf solche global agierenden Bedrohungen ausweiten müssen, um rechtzeitig Gegenmaßnahmen ergreifen zu können.

Siehe auch: