NGate: furto dei dati di pagamento con app e AI

Gli esperti di ESET hanno individuato una nuova variante del malware NGate che sfrutta un’app Android legittima, invece del tool open source NFCGate, per rubare i dati di pagamento. Questi ultimi vengono trasmessi al dispositivo dei cybercriminali che possono quindi prelevare denaro agli ATM in modalità contactless.

Come funziona la nuova versione di NGate

La nuova variante di NGate sfrutta una versione infetta dell’app HandyPay per Android. Permette di trasferire i dati NFC da un dispositivo all’altro, utile ad esempio per condividere la stessa carta di pagamento tra i membri della famiglia. I dati vengono prima letti sul dispositivo del titolare della carta e poi condivisi con un dispositivo collegato. Dopo che gli utenti hanno collegato i propri account tramite email, il titolare della carta scansiona la propria carta di pagamento tramite NFC e i dati cifrati vengono trasferiti al dispositivo associato. Tale dispositivo può quindi eseguire pagamenti contactless utilizzando la carta del titolare originale.

Per emulare la carta è necessario sottoscrivere un abbonamento a 9,99 euro/mese, una somma molto più bassa di quella richiesta da noti MaaS (Malware-as-as-Service) usati dai cybercriminali. Gli esperti di ESET hanno trovato codice generato con l’AI iniettato in quello dell’app originale. Si tratta del codice di NGate.

L’app viene distribuita tramite un falso Google Play Store o un sito simile a quello della lotteria brasiliana. Nel primo caso viene installata dall’utente tramite file APK (sideloading). Nel secondo caso viene fornito il link tramite WhatsApp da un presunto operatore che l’utente contatta per riscuotere la vincita.

Al termine dell’installazione viene chiesto di impostare l’app come predefinita per i pagamenti, inserire il PIN della carta e leggere la carta con il chip NFC dello smartphone. Questi dati vengono inviati al server controllato dai cybercriminali. La carta viene così clonata e usata per i prelievi contactless agli ATM.

Gli utenti non devono installare app da fonti sconosciute. È consigliato disattivare la funzionalità NFC (se non serve) ed effettuare la scansione con Google Play Protect.