Onderzoekers waarschuwen voor Android-malware die in naam van slachtoffers een kredietlening afsluit, waarna een ander malware-exemplaar via NFC informatie van de betaalpas van het slachtoffer doorstuurt om zo fysieke aankopen te betalen en geldopnames mogelijk te maken. Dat laat cybersecuritybedrijf Group-IB in een analyse over een incident weten, waarbij twee soorten Android-malware werden gebruikt.

De aanval begint met een telefoongesprek waarbij de aanvallers zich tegenover het slachtoffer voordoen als bankmedewerker en stellen dat er een probleem is met de betaalpas. Tijdens het 13 minuten durende gesprek installeerde het slachtoffer op verzoek van de fraudeur op zijn telefoon een remote access trojan (RAT) genaamd SpyNote, waarmee er toegang tot de telefoon wordt verkregen. Via de RAT installeert de aanvaller NFC relay-malware genaamd WindRelay.

De RAT zorgt er ook voor dat de aanvaller toegang heeft tot apps die op de besmette Androidtelefoon van het slachtoffer draaien. Via de toegang tot één van deze apps sluit de aanvaller in naam van het slachtoffer een kredietlening af, aldus Group-IB. Via de NFC-malware worden vervolgens allerlei frauduleuze transacties uitgevoerd. De fraudeur vraagt het slachtoffer hierbij om zijn betaalpas tegen de telefoon aan te houden en zijn pincode in te voeren.

De NFC-malware leest de betaalpasgegevens uit via NFC en stuurt die naar de aanvaller. Het gaat hierbij niet om een statisch betaalpasnummer, maar de data-uitwisseling tussen de chip van de betaalpas en een kaartlezer, alsmede de code die kaart voor die specifieke transactie genereert. De NFC-malware verandert de besmette telefoon in een zogenaamde contactloze betaalpaslezer, zoals bij een betaalautomaat.

Zodra het slachtoffer de betaalpas tegen de telefoon houdt doet de malware zich voor als contactloze betaalautomaat en vangt de gegevens op. Deze data wordt vervolgens in real-time doorgestuurd naar een tweede apparaat van de aanvaller. Dit apparaat doet zich tegenover een betaalautomaat of pinautomaat voor als de betaalpas van het slachtoffer. De aanvaller kan met dit tweede apparaat zo aankopen doen of geld opnemen.

"De betaalpas van het slachtoffer en de echte betaalautomaat communiceren rechtstreeks met elkaar; de setup van de aanvaller is slechts een onzichtbare relay in het midden, die de gegevens over een afstand uitwisselt. Omdat de betaalautomaat een live verbinding met een echte betaalpas opzet, wordt de transactie uitgevoerd en verwerkt de opname of aankoop zoals het hoort", aldus Group-IB. Het bedrijf voegt toe dat elke transactie tijdens het incident werd goedgekeurd via de pincode die het slachtoffer zelf had ingevoerd. Daarnaast bleef het slachtoffer gedurende het gehele incident aan de telefoon met de oplichter. Hoeveel geld de aanvallers buitmaakten en in welk land het incident plaatsvond is niet bekendgemaakt.