Банкер NGate впервые попал на радары антивирусных вендоров еще осенью 2023 года, когда в профильных СМИ стали появляться сообщения об атаках на клиентов крупных чешских банков. Стратегия злоумышленников строилась на комбинации социальной инженерии, фишинга и использования вредоносного ПО. Эти стандартные тактики воплотились в довольно новаторский сценарий: результатом взаимодействия с жертвой становился удаленный доступ к NFC-возможностям её платежного средства. Данная кампания была пресечена органами охраны правопорядка Чехии, однако её идея была адаптирована для российских реалий и реализована для незаконного обогащения за счет пользователей в России.
Событием, запускающее цепочку компрометации, предположительно является звонок от мошенников, которые сообщают о возможности получить различные социальные выплаты или иную финансовую выгоду. Для этого жертве необходимо проследовать по присланной ссылке на мошеннический сайт, откуда скачивается вредоносный APK с трояном NGate, замаскированный под приложение портала Госуслуг, Банка России, или одного из других популярных банков.
Иконки вредоносных приложений, стилизованные под официальные
Банковский троян NGate представляет собой вредоносную модификацию приложения с открытым исходным кодом NFCGate, которое было разработано для отладки протоколов передачи NFC-данных. NFCGate поддерживает ряд функций, однако для злоумышленников наибольший интерес представляют возможность захвата NFC-трафика приложений и передачи его на удаленное устройство, которым может выступать или сервер, или непосредственно смартфон злоумышленников. Преступники модифицировали исходный код, добавив к нему интерфейсы с айдентикой финансовых организаций, и включили режим ретрансляции NFC-данных. Кроме того, в состав приложения включена библиотека nfc-card-reader, которая позволяет хакерам удаленно получить также номер карты и срок ее действия.
После запуска приложения жертве, якобы для верификации себя в качестве клиента, предлагается приложить платежную карту к задней стороне смартфона, ввести свой PIN-код и подождать, пока псевдоприложение распознает карту. В это время происходит считывание данных с банковской карты и передача их преступникам. Обратим внимание на то, что для кражи NFC-данных атакуемый смартфон не требует root-доступа.
Экраны фейковых приложений
Пока жертва удерживает карту, приложенную к своему смартфону, злоумышленник уже будет находиться у банкомата и запрашивать выдачу наличных. Альтернативным вариантом является реализация данной схемы для бесконтактной оплаты покупок. И в момент, когда нужно будет приложить карту, мошенник просто предъявит свой телефон, который передаст цифровой отпечаток банковской карты жертвы. Подтвердить операцию он сможет полученным раннее PIN-кодом.
Во избежание кражи денег аналитики «Доктор Веб» рекомендуют соблюдать следующие правила:
- не сообщать никому PIN- или CVV-коды своих банковских карт,
- использовать антивирусное ПО, оно заблокирует скачивание и установку вредоносного ПО,
- внимательно проверять адреса веб-страниц, где предлагается раскрывать любую финансовую информацию,
- устанавливать приложения только из официальных источников, таких как RuStore, AppGalery и Google Play,
- не вступать в разговоры с мошенниками. Если поступил неожиданный звонок от сотрудников органов правопорядка, банка, портала Госуслуг, Пенсионного фонда или любой другой организации, то следует повесить трубку. Затем можно найти контактный номер на официальном сайте ведомства и позвонить по нему самостоятельно.
Материал подготовлен:
Доктор Веб
«Р7-Офис» представляет собой значительно более мощный инструмент для организаций разного масштаба
Мошенники активно эксплуатируют доверчивость пользователей, уязвимости дешевых устройств и анонимность криптовалют. Осведомленность и базовые меры безопасности помогут избежать потерь
В ходе кампании сотрудники компаний получают фишинговые письма, маскирующиеся под официальные рассылки государственных министерств.
XXI век – эпоха цифровизации. Практически все сферы жизни, от личного общения до государственных операций, перешли в онлайн. Но вместе с удобствами появились и новые угрозы: кибератаки, утечки данных, финансовые махинации
МойОфис представил масштабное обновление версии 3.3 для настольных, мобильных и веб-редакторов документов. В новом релизе значительно расширены возможности анализа данных: улучшена работа со сводными таблицами, внедрены функции фильтрации и сортировки, а также создания и настройки диаграмм. Эти обновления повышают эффективность работы с данными в продуктах МойОфис и помогают пользователям принимать обоснованные решения
Компания «Увеон – облачные технологии» (входит в «Группу Астра») представила контроллер доставки приложений Termidesk Connect — решение для балансировки нагрузки, повышения отказоустойчивости и масштабирования ИТ-сервисов. Продукт полностью заменяет зарубежные аналоги, такие как Citrix и F5 и располагает современными инструментами для управления высоконагруженными инфраструктурами даже при стремительном росте числа пользователей.
Эксперты компании «Киберпротект» и деловой социальной сети TenChat провели исследование среди пользователей, посвящённое безопасности пожилых людей в интернете. Аналитики выяснили, как часто люди в возрасте 60+ лет сталкиваются с онлайн- угрозами, как они и их родственники противодействуют им, а также, какие риски наиболее актуальны для них
Итоги работы Content AI в 2024 году: финансовый рост, важные проекты, интенсивная разработка продуктов, плодотворная работа с партнерами и изменения в структуре собственности компании.Генеральный директор Content AI Светлана Дергачева поделилась наиболее значимыми событиями прошедшего года и планами на 2025 год, рассказала о трендах, влиянии ИИ на отрасль и о дальнейшем его применении во флагманских продуктах компании
Цель злоумышленников — кибершпионаж. С 2024 года группа SideWinder стала совершать сложные целевые кибератаки (APT) на объекты атомной отрасли в Южной Азии, включая АЭС и агентства по атомной энергии. Это обнаружили эксперты Kaspersky GReAT (Глобального центра исследований и анализа угроз «Лаборатории Касперского»). Цель злоумышленников — кибершпионаж. При этом группа существенно расширила географию своей деятельности: атаки были зафиксированы в странах Африки, Юго-Восточной Азии, а также в некоторых частях Европы.
Ваши контактные данные не публикуются на сайте.