Nowy malware NFC WindRelay celuje również w czeskie konta. Zmienia telefon w czytnik Twojej karty płatniczej

Analitycy firmy Group-IB opisali dotąd nieznany malware WindRelay, który w połączeniu ze zdalnie sterowanym trojanem SpyNote potrafi zamienić Twój telefon w żywy czytnik karty płatniczej. Wśród 23 dotąd przechwyconych próbek są również takie, które maskują się pod czeskie banki – a oszustwa bezstykowe mają w Czechach smutną tradycję.

Zacznie się od rozmowy telefonicznej, potem będą chcieli, żebyś przyłożył kartę do telefonu

Całość zaczyna się od rozmowy telefonicznej. Oszust podaje się za pracownika banku i pod pretekstem, że coś jest nie tak z Twoją kartą lub kontem, przekonuje Cię, abyś pobrał pewną aplikację spoza sklepu Google Play. W rzeczywistości ma ona dostęp do usług ułatwień dostępu – i to jest klucz do całej sztuczki. Dzięki temu atakujący, według analizy Group-IB, potajemnie instaluje WindRelay bez ani jednego Twojego kliknięcia. Żadne udostępnianie ekranu się przy tym nie uruchamia, więc niczego nie zauważysz.

Aby historia brzmiała wiarygodniej, plik instalacyjny jest dopasowany bezpośrednio do Ciebie – zawiera Twoje imię. Atakujący bowiem ustalają imię i numer telefonu ofiary jeszcze przed rozmową. Kolejny przełomowy moment następuje, gdy pod pretekstem weryfikacji tożsamości lub zmiany kodu PIN proszą Cię, abyś przyłożył swoją fizyczną kartę płatniczą do tylnej strony własnego telefonu.

W tym momencie Twój telefon staje się pośrednikiem między kartą a oszustem. Malware przez NFC odczytuje dane karty i w czasie rzeczywistym wysyła je na urządzenie atakującego, które może znajdować się na drugim końcu kraju. WindRelay wykorzystuje do tego dwie części: czytnik w Twoim telefonie, który komunikuje się z kartą, oraz emulator w telefonie oszusta, który „udaje” kartę przy terminalu płatniczym. Obie części wymieniają się poleceniami płatniczymi tam i z powrotem przez własny serwer, dzięki czemu transakcja przebiega tak, jakbyś stał przy kasie sam.

Dwa oszustwa w jednej rozmowie

Ta metoda nazywana jest Ghost Tap i ma jedną zasadniczą zaletę dla złodziei – pozostają anonimowi i mogą kraść na dużą skalę. Firma ESET już w zeszłym roku ostrzegała, że atakujący teoretycznie mogliby prowadzić całe „farmy” telefonów wypełnionych skradzionymi kartami, które automatycznie wysyłają fałszywe płatności.

Połączenie zdalnego dostępu i czytnika NFC jest jednak niebezpieczne głównie dlatego, że atakujący zarabia od razu podwójnie. Za pośrednictwem trojana SpyNote zaciąga cyfrową pożyczkę na Twoje imię, podczas gdy za pośrednictwem malware NFC jednocześnie płaci Twoją kartą w sklepach. Według Group-IB oszuści zdążą zrobić jedno i drugie podczas jednej, około trzynastominutowej rozmowy – czyli zanim bank lub ofiara w ogóle zdąży zareagować.

Czeskie banki to nie przypadek

To, że WindRelay podszywa się właśnie pod czeskie, słowackie i słoweńskie instytucje finansowe, nie jest przypadkiem. Oszustwa bezstykowe przez NFC są u nas niestety na porządku dziennym. Już w sierpniu 2024 roku firma ESET opisała malware NGate, który w ten sam sposób okradał klientów trzech czeskich bank i za pośrednictwem telefonu potrafił wypłacać gotówkę z bankomatów.

Nowy malware NFC WindRelay celuje również w czeskie konta. Zmienia telefon w czytnik Twojej karty płatniczej Adam Kurfürst Zprávičky Adam Kurfürst Zprávičky

A liczby rosną. Tylko w pierwszych czterech miesiącach tego roku ESET wykrył w Czechach i na Słowacji więcej przypadków NGate niż przez cały zeszły rok – rok do roku jest to około piętnastokrotny wzrost. W październiku zeszłego roku Czeski Bank Narodowy (ČNB) również ostrzegał przed fałszywą aplikacją podszywającą się pod sam bank. Większość ataków, według ekspertów, pochodzi od jednej zorganizowanej grupy.

Jak się bronić?

Przeciwko temu zagrożeniu nadal masz przewagę. Całe oszustwo opiera się na tym, że ofiara posłusznie wykonuje to, co ktoś jej dyktuje przez telefon. Kilka zasad Cię ochroni:

• Żaden bank nigdy nie będzie chciał, abyś przykładał kartę do telefonu ani dyktował kodu PIN – jeśli ktoś o to prosi w rozmowie, rozłącz się
• Nie instaluj aplikacji z linków w SMS-ach ani tych, które zostaną Ci podyktowane podczas rozmowy telefonicznej; bank i jego aplikację zawsze znajdź samodzielnie
• Jeśli dzwoni do Ciebie „bank” z informacją, że Twoje konto jest zagrożone, rozłącz się i zadzwoń z powrotem na oficjalny numer (znajdziesz go w aplikacji bankowej, na stronie internetowej lub na odwrocie karty bankowej)
• Pozostaw włączony Google Play Protect i instaluj wrażliwe aplikacje tylko z oficjalnego sklepu
• Pozwól sobie pomóc – jeśli masz podejrzenia, że coś jest nie tak, skonsultuj się z przyjaciółmi, rodziną

Czy spotkałeś się już z fałszywą rozmową telefoniczną, która celowała w Twoją kartę płatniczą?

Źródła: Group-IB, The Hacker News, ESET