Nuevas variantes del malware para Android NFCShare se están distribuyendo como falsas actualizaciones de apps bancarias legítimas alojadas en GitHub, según BleepingComputer, que cita una investigación de D3Lab. La campaña apunta ahora a clientes de varios bancos y entidades financieras de Europa, sobre todo de Italia y España, con el objetivo de robar datos de tarjetas de pago.
Cómo funciona el engaño. Una pantalla de verificación falsa te pide acercar la tarjeta al chip NFC del móvil. Entonces NFCShare la lee mediante la interfaz IsoDep de Android y comandos EMV, y se queda con el número, el tipo y la fecha de caducidad, además del PIN de 4 dígitos que la víctima escribe creyendo que es un paso de seguridad. Todo se envía al servidor de control del atacante a través de un canal WebSocket.
De la web falsa al APK. Los ataques detectados desde el 14 de mayo empiezan en una web de phishing que suplanta a un banco real y pide las credenciales bancarias. Después se insta a la víctima a actualizar su app del banco y se la redirige a un repositorio de GitHub con un APK malicioso. D3Lab apunta que también podrían usarse SMS o llamadas de falsos empleados del banco, como en ataques similares, aunque no lo ha observado directamente.
56 apps falsas. Desde su creación el 10 de abril, el repositorio ha alojado 56 APK distintos que imitan apps bancarias, con nombres como Intesa Carte, Banca Sella Carte, Nexi Carte, Fideuram Carte, Mooney Carte, CaixaBank, CaixaBankNfc o CaixaReactivaTarjeta. Cuando D3Lab documentó NFCShare por primera vez en enero de 2026, solo atacaba a clientes de Deutsche Bank en Alemania, lo que sugiere que su alcance se ha ampliado.
Más difícil de analizar. La nueva versión usa un empaquetado APK malformado, con rutas de archivo manipuladas dentro del ZIP que provocan errores en algunas herramientas de extracción. Según D3Lab, el truco no impide el análisis manual, pero sí entorpece el análisis estático en ciertas herramientas y, potencialmente, en algunas soluciones de seguridad.
Por qué importa
Materia prima para el fraude. Los datos robados así pueden usarse en esquemas de retransmisión de pagos NFC, como los documentados en los ataques de NGate, SuperCard X y RelayNFC. El investigador de D3Lab Andrea Draghetti explicó a BleepingComputer que NFCShare usa código, librerías y arquitectura propios, aunque podría ser una evolución del mismo ecosistema, impulsada por los mismos actores.
- Instala apps bancarias solo desde Google Play, nunca desde enlaces o repositorios de código.
- Mantén activado Google Play Protect.
- Desconfía de cualquier verificación que te pida acercar la tarjeta al móvil.
- No escribas nunca el PIN de tu tarjeta en una app como comprobación de seguridad.
- Si un mensaje o una llamada te urge a actualizar la app del banco, contacta con tu entidad por sus canales oficiales.
Fuente: BleepingComputer
Deja una respuesta