Uma nova vaga do perigoso malware NFCShare está a visar os utilizadores de dispositivos Android na Europa, espalhando-se através de atualizações falsas alojadas na plataforma GitHub. Conforme detalhado no relatório da D3Lab, esta ameaça tem vindo a evoluir com o intuito de roubar dados confidenciais de cartões de pagamento diretamente através da tecnologia de aproximação.
O ataque começa quando a vítima visita um site de phishing que imita uma instituição bancária real para roubar as credenciais de acesso. Logo a seguir, o utilizador é instado a atualizar a aplicação do banco, sendo redirecionado para um repositório no GitHub que aloja um ficheiro APK malicioso. Desde a sua criação a 10 de abril, este repositório já distribuiu 56 variantes únicas de pacotes que personificam aplicações de bancos em Itália e Espanha, incluindo nomes conhecidos como o CaixaBank.
Como funciona o roubo por aproximação
Quando a aplicação fraudulenta é instalada, os atacantes recorrem à engenharia social através de um ecrã falso de verificação. O sistema solicita que a vítima aproxime o seu cartão físico do chip NFC do telemóvel. Usando a interface IsoDep do ecossistema Android e comandos EMV, o NFCShare extrai o número do cartão, a data de validade, o tipo e até um código PIN de quatro dígitos introduzido pelo utilizador sob o pretexto de uma medida de segurança.
Toda esta informação é enviada em tempo real para o servidor de comando e controlo dos cibercriminosos através de um canal WebSocket. Os dados recolhidos desta forma podem depois ser aplicados em esquemas virtuais de retransmissão de pagamentos, uma tática semelhante à observada noutras ameaças recentes.
Análise técnica e recomendações de segurança
O NFCShare foi documentado originalmente em janeiro de 2026 pelos investigadores da D3Lab, altura em que visava exclusivamente o Deutsche Bank na Alemanha. A expansão recente para outros países sugere um alargamento dos alvos da campanha. Andrea Draghetti, investigador da entidade, revelou ao portal BleepingComputer que, embora o código e a arquitetura sejam distintos de outras ameaças semelhantes, este esquema pode fazer parte do mesmo ecossistema criminoso.
Uma das particularidades desta nova versão é a utilização de pacotes APK intencionalmente malformados. Embora continuem a funcionar como ficheiros ZIP normais, os caminhos internos dos ficheiros são adulterados para fazer com que as ferramentas automatizadas de análise estática falhem e gerem erros no sistema. No entanto, este truque apenas afeta as auditorias automáticas, não impedindo a análise manual por parte de especialistas.
Para evitar cair nestas armadilhas, os utilizadores devem descarregar aplicações bancárias apenas a partir da Google Play Store, garantir que a proteção Play Protect está ativa e desconfiar de qualquer ecrã que solicite a leitura por aproximação do cartão de crédito ou débito.
Nenhum comentário
Seja o primeiro!