El equipo de investigaci\u00f3n de ESET, compa\u00f1\u00eda l\u00edder en detecci\u00f3n proactiva de amenazas, descubri\u00f3 una campa\u00f1a dirigida a clientes de distintos bancos cuyo objetivo principal era facilitar retiros no autorizados de cajeros autom\u00e1ticos de las cuentas de las v\u00edctimas. El malware utilizado, que ESET denomin\u00f3 NGate, tiene la capacidad \u00fanica de transmitir datos de tarjetas de pago a trav\u00e9s de una aplicaci\u00f3n maliciosa instalada en el dispositivo Android de la v\u00edctima, al tel\u00e9fono Android rooteado del atacante.<\/p>\n
<\/p>\n Principales hallazgos de ESET:<\/strong><\/p>\n \u00b7 Los atacantes combinaron t\u00e9cnicas maliciosas est\u00e1ndar (ingenier\u00eda social, phishing y malware para Android) en un nuevo escenario de ataque; ESET sospecha que se enviaron mensajes que suplantaban, en este caso, a bancos checos a clientes telef\u00f3nicos aleatorios, y atraparon a clientes de tres bancos.<\/p>\n \u00b7 Seg\u00fan los datos del Servicio de Inteligencia de ESET, el grupo hab\u00eda operado desde noviembre de 2023 en Chequia y, a partir de marzo de 2024, la calificaci\u00f3n de las t\u00e9cnicas del grupo mejor\u00f3 mediante la implementaci\u00f3n del malware NGate para Android.<\/p>\n \u00b7 Los atacantes pudieron clonar datos NFC de las tarjetas de pago f\u00edsicas de las v\u00edctimas utilizando NGate y retransmitir estos datos al dispositivo de un atacante, que luego pudo emular la tarjeta original y retirar dinero de un cajero autom\u00e1tico.<\/p>\n \u00b7 Esta es la primera vez que se identific\u00f3 este malware para Android con esta capacidad en uso en la naturaleza, y sin que las v\u00edctimas hayan tenido sus dispositivos rooteados.<\/p>\n Las v\u00edctimas descargaron e instalaron el malware despu\u00e9s de haber sido enga\u00f1adas al pensar que se estaban comunicando con su banco y que su dispositivo estaba comprometido. En realidad, las mismas sin saberlo hab\u00edan comprometido sus propios dispositivos Android al descargar e instalar una aplicaci\u00f3n desde un enlace en un mensaje SMS enga\u00f1oso sobre una posible declaraci\u00f3n de impuestos. Desde ESET destacan que NGate nunca estuvo disponible en la tienda oficial Google Play.<\/p>\n Las extracciones no autorizadas de cajeros autom\u00e1ticos se lograron retransmitiendo datos de comunicaci\u00f3n de campo cercano (NFC) de las tarjetas de pago f\u00edsicas de las v\u00edctimas, a trav\u00e9s de sus tel\u00e9fonos inteligentes Android comprometidos, mediante el malware NGate para Android, al dispositivo del atacante. Luego, el atacante us\u00f3 estos datos para realizar transacciones en cajeros autom\u00e1ticos. Si este m\u00e9todo fallaba, el atacante ten\u00eda un plan alternativo para transferir fondos de las cuentas de las v\u00edctimas a otras cuentas bancarias.<\/p>\n \u201cNo hemos visto esta novedosa t\u00e9cnica de retransmisi\u00f3n NFC en ning\u00fan malware para Android descubierto anteriormente. La t\u00e9cnica se basa en una herramienta llamada NFCGate, dise\u00f1ada por estudiantes de la Universidad T\u00e9cnica de Darmstadt, Alemania, para capturar, analizar o alterar el tr\u00e1fico NFC; por lo tanto, llamamos a esta nueva familia de malware NGate\u201d, dice Luk\u00e1\u0161 \u0160tefanko, Investigador de ESET quien descubri\u00f3 la amenaza y la t\u00e9cnica.<\/p>\n Adem\u00e1s de sus capacidades de phishing, el malware NGate tambi\u00e9n viene con una herramienta llamada NFCGate, que se utiliza indebidamente para transmitir datos NFC entre dos dispositivos: el dispositivo de la v\u00edctima y el dispositivo del perpetrador. Algunas de estas funciones solo funcionan en dispositivos rooteados; sin embargo, en este caso, la transmisi\u00f3n de tr\u00e1fico NFC tambi\u00e9n es posible desde dispositivos no rooteados. NGate tambi\u00e9n solicita a sus v\u00edctimas que ingresen informaci\u00f3n confidencial como su ID de cliente bancario, fecha de nacimiento y el c\u00f3digo PIN de su tarjeta bancaria. Tambi\u00e9n les pide que activen la funci\u00f3n NFC en sus tel\u00e9fonos inteligentes. Luego, se les indica a las v\u00edctimas que coloquen su tarjeta de pago en la parte posterior de su tel\u00e9fono inteligente hasta que la aplicaci\u00f3n maliciosa reconozca la tarjeta.<\/p>\n Adem\u00e1s de la t\u00e9cnica utilizada por el malware NGate, un atacante con acceso f\u00edsico a las tarjetas de pago puede copiarlas y emularlas. Esta t\u00e9cnica podr\u00eda ser empleada por un atacante que intente leer tarjetas a trav\u00e9s de carteras, billeteras, mochilas o fundas de tel\u00e9fonos inteligentes que contengan tarjetas sin supervisi\u00f3n, especialmente en lugares p\u00fablicos y concurridos. Este escenario, sin embargo, generalmente se limita a realizar peque\u00f1os pagos sin contacto en puntos de terminales.<\/p>\n \u201cPara garantizar la protecci\u00f3n contra ataques tan complejos es necesario utilizar ciertas medidas proactivas contra t\u00e1cticas como el phishing, la ingenier\u00eda social y el malware para Android. Esto significa verificar las URL de los sitios web, descargar aplicaciones de las tiendas oficiales, mantener los c\u00f3digos PIN en secreto, usar aplicaciones de seguridad en los tel\u00e9fonos inteligentes, desactivar la funci\u00f3n NFC cuando no sea necesaria, usar fundas protectoras o usar tarjetas virtuales protegidas por autenticaci\u00f3n\u201d, aconseja \u0160tefanko.<\/p>\n