Блог

    Специалисты предупреждают о появлении новых версий банкера NGate, нацеленных на пользователей в России. Этот софт передает данные с NFC-чипа заряженного смартфона терпилы, позволяя дроповоду снимать деньги со счетов холдера в банкоматах без какого-либо участия с его стороны, то есть без разрешения и без его ведома. Напомним, что ранее мы уже рассказывали о NGate, и впервые этот банкер попал в поле зрения экспертов еще осенью прошлого года, когда стали появляться сообщения о скаме  клиентов крупных чешских и других европейских банков.

    Стратегия дроповодов строилась на комбинации социальной инженерии, фишинга и использования самого софта. И результатом взаимодействия с холдером становился удаленный доступ к NFC-возможностям его платежного средства, смартфона. Ранее специалисты писали, что чешские мундиры уже поймала одного из дроповодов, осуществлявшего такой скам в Праге. Однако, исследователи небезосновательно опасались, что тактика может получить более широкое распространение и представляет серьезный риск для пользователей ОС Android в целом.

    Как нам теперь сообщили, тактика действительно была адаптирована для наших российских реалий и уже используется против российских пользователей банковских карт с чипом и приложений. Событием, запускающем цепочку компрометации устройства и банковской карты, судя по всему, является звонок от дроповода, который сообщает холдеру о возможности получить различные социальные выплаты или иную финансовую выгоду. Для этого пользователю якобы необходимо проследовать по присланной ссылке на сайт дроповода, откуда скачивается уже заряженый файл APK с NGate, замаскированный под приложение портала Госуслуг, Банка России, или одного из других популярных банков.

    Исследователи напоминают, что банкер NGate представляет собой модификацию опенсорсного приложения NFCGate, которое создавалось для отладки протоколов передачи NFC-данных.  NFCGate поддерживает множество функций, но наибольший интерес для дроповодов представляет возможность захвата NFC-трафика приложений и передачи его на удаленное устройство, которым может выступать или сервер, или непосредственно смартфон в кармане дроповода для осуществления процессинга.

    Дроповоды немного модифицировали исходный код, добавив к нему интерфейсы с айдентикой финансовых организаций, и включили режим ретрансляции NFC-данных. Кроме того, в состав приложения включена библиотека nfc-card-reader, которая позволяет дроповоду удаленно получить номер карты холдера и срок ее действия.

    Так, после запуска приложения терпиле, якобы для верификации себя в качестве клиента, предлагается приложить платежную карту к задней стороне смартфона, ввести свой PIN-код и подождать, пока псевдоприложение распознает карту. В это время происходит считывание данных с карты и передача информации дроповодам. Исследователи подчеркивают, что для угона NFC-данных смартфон терпилы не требует root-доступа.

    В результате, пока терпила удерживает карту возле своего смартфона, дроповод уже находятся у банкомата и запрашивает выдачу наличных.

    Альтернативным вариантом является реализация данной схемы для бесконтактной оплаты покупок. То есть в момент, когда нужно будет приложить карту к терминалу, дроповод предъявит свой телефон, который передаст цифровой отпечаток банковской карты холдера. Подтвердить операцию дроповод сможет также полученным раннее PIN-кодом.

    Исследователи даркнета недавно обнаружили новую скам схему процессинга. Дроповоды используют в качестве приманки настоящую seed-фразу от криптокошельков с токенами Tether USD (USDT) и якобы случайно размещают её в комментариях под каким-нибудь интересным видео на YouTube, посвященным финансовой или криптовалтной тематике. Дроповоды рассчитывают, что корыстные пользователи видеохостинга захотят воспользоваться таким шансом для вывода активов холдера на свой кошелёк.

    Такие комментарии пишутся от лица наивного пользователя, который якобы не знал о базовых мерах безопасности и выложил конфиденциальные данные от своего криптокошелька в открытый доступ ради консультации.

    Такие криптокошельки обычно содержат токены USDT. Так как seed-фразы обычно достаточно, чтобы получить доступ к хранящимся в кошельке средствам, недобросовестные пользователи, привлеченные перспективой легкой наживы, могут попытаться опустошить чужой кошелёк. По словам исследователей, дополнительно искушать людей может не только то, что seed-фраза настоящая, но и тот факт, что они могут видеть баланс USDT и историю транзакций.

    Однако, когда пользователь пытается получить доступ к такому кошельку, он обнаружит, что для вывода USDT требуется оплатить комиссию в токенах TRX (Tron), которых в кошельке нет. Если пользователь переводит TRX из своего личного кошелька для оплаты такой «комиссии», эти средства мгновенно перенаправляются на другой кошелек, контролируемый дроповодами.

    Эксперты объясняют, что кошелек-приманка настроен как учетная запись с несколькими подписями (multisig), что требует дополнительных разрешений для авторизации любых транзакций. Поэтому, даже если терпила попытается перевести средства после оплаты «комиссии», сделать это у него не получится.

    «В этой схеме дроповоды делают ставку на стремление людей к быстрому „заработку” в интернете. В итоге сами пользователи попадаются в ловушку. Мы настоятельно призываем быть бдительными и придерживаться этичных принципов при работе с криптовалютами и в целом при проведении любых финансовых транзакций в интернете», — комментирует старший контент-аналитик «Лаборатории Нейронаук».