Massive surge of NFC relay malware steals Europeans’ credit cards

L’Essor des Chevauchements NFC pour le Vol de Données Bancaires sur Android

Une augmentation significative des applications malveillantes utilisant la technologie NFC (Near-Field Communication) a été observée, ciblant principalement les utilisateurs en Europe de l’Est. Plus de 760 applications Android compromettantes ont été identifiées, exploitant la fonctionnalité d’émulation de carte hôte (HCE) d’Android pour voler des informations de cartes bancaires sans contact.

Contrairement aux malwares bancaires traditionnels, ces nouvelles menaces ne se limitent pas à des écrans de connexion frauduleux. Elles capturent les données de transaction EMV, répondent aux commandes des terminaux de point de vente (POS) avec des réponses falsifiées, ou transmettent ces commandes à des serveurs distants qui génèrent des autorisations de paiement légitimes, le tout à l’insu du titulaire de la carte.

Initialement repérée en Pologne en 2023, cette technique s’est étendue à d’autres pays comme la République Tchèque et la Russie, avec des campagnes d’attaques de plus en plus massives. Diverses approches ont émergé, incluant l’exfiltration de données EMV vers des plateformes comme Telegram, le transfert de commandes APDU vers des appareils distants, la manipulation des réponses HCE pour des paiements en temps réel (connus sous le nom de “Ghost-tap”), et l’utilisation d’applications web progressives (PWA) ou de fausses applications bancaires enregistrées comme gestionnaires de paiement par défaut.

Les applications malveillantes usurpent souvent l’identité de services légitimes tels que Google Pay ou de grandes institutions bancaires pour gagner la confiance des utilisateurs.

Points clés :

• Exploitation de la technologie NFC sur Android via l’émulation de carte hôte (HCE).
• Capture et transmission de données de cartes bancaires sans contact.
• Réponse frauduleuse aux commandes des terminaux POS pour autoriser des transactions.
• Propagation à travers des applications Android malveillantes déguisées en applications légitimes.
• Ciblage géographique prédominant en Europe de l’Est.

Vulnérabilités :

• Aucun identifiant CVE spécifique n’est mentionné dans l’article pour ces menaces. L’exploitation repose sur l’abus des fonctionnalités légitimes d’Android et les vulnérabilités comportementales des utilisateurs.

Recommandations :

• Installer des applications uniquement depuis des sources de confiance, comme le Google Play Store.
• Privilégier les liens officiels des banques pour télécharger leurs applications.
• Examiner attentivement les permissions demandées par les applications, notamment l’accès NFC et les services de premier plan.
• Activer et utiliser régulièrement Play Protect, l’outil anti-malware intégré d’Android.
• Désactiver la fonctionnalité NFC lorsque celle-ci n’est pas utilisée.

Source