SuperCard X: "Android Kötü Amaçlı Yazılımı, NFC Relay Saldırılarıyla Çalınan Kartları Kullanıyor"
Siber güvenlik araştırmacıları, Android cihazları hedef alan yeni bir kötü amaçlı yazılım platformu olan "SuperCard X" hakkında uyarıda bulundu. Bu kötü amaçlı yazılım, çalıntı ödeme kartı verileriyle temassız ödeme noktalarında ve ATM'lerde işlem yapılmasına olanak tanıyan NFC relay saldırıları düzenliyor.
SuperCard X, Çinli tehdit aktörleriyle ilişkilendiriliyor ve NFCGate adlı açık kaynak projeyle ve onun kötü niyetli türevi NGate ile benzerlikler gösteriyor. NGate, 2023’ten bu yana Avrupa'da aktif saldırılarda kullanılmıştı.
Bu kötü amaçlı yazılım hizmeti (Malware-as-a-Service / MaaS), Telegram kanalları üzerinden pazarlanıyor ve bu kanallarda kullanıcılarına doğrudan destek de sunuluyor.
Saldırılar ilk olarak İtalya'da gözlemlendi ve farklı varyasyonlara sahip örnekler analiz edildi. Bu durum, platformun bağlı (affiliate) saldırganlara, bölgesel ihtiyaçlara özel özelleştirilmiş sürümler sunduğunu gösteriyor.
SuperCard X Saldırısı Nasıl Gerçekleşiyor?
- Sahte mesaj aşaması: Kurban, bankasını taklit eden bir sahte SMS veya WhatsApp mesajı alıyor. Mesajda, şüpheli bir işlem nedeniyle sorun yaşandığı belirtilerek bir numara aratılıyor.
- Sosyal mühendislik: Telefona çıkan kişi, bankacı kılığına girmiş bir dolandırıcı. Kurbanı, kart numarası ve PIN kodunu "doğrulamak" için kandırıyor ve harcama limitlerini kaldırmasını sağlıyor.
- Kötü amaçlı uygulama yükletme: Dolandırıcı, kurbana bir "güvenlik doğrulama aracı" olarak tanıtılan ancak içinde SuperCard X bulunan sahte bir uygulama (Reader) yükletiyor.
Kurban, güvenlik kontrolü bahanesiyle kredi/banka kartını telefonun arkasına dokunduruyor. Uygulama, kart çip verilerini okuyup saldırganlara iletiyor.
Saldırıda yer alan iki uygulama ve iki cihazın yapısı – Kaynak: Cleafy
Saldırganlar bu veriyi alıyor ve kendi Android cihazlarında bulunan Tapper adlı ikinci uygulama aracılığıyla kurbanın kartını taklit eden temassız ödemeler gerçekleştiriyorlar.
Küçük, Ama Gerçek İşlemler
Bu emüle edilen (taklit edilen) kartlar ile mağaza alışverişleri ve ATM işlemleri yapılabiliyor. İşlem limitleri düşük olduğu için bu işlemler, bankalar tarafından gerçek gibi algılanıyor ve çoğu zaman otomatik olarak onaylanıyor.
SuperCard X saldırılarının genel görünümü – Kaynak: Cleafy
Güçlü Gizlilik ve Teknik Yetenek
Cleafy’nin raporuna göre, SuperCard X şu anda hiçbir antivirüs tarafından tespit edilmiyor. Ayrıca, tehlikeli izinler istememesi ve saldırgan davranışlar göstermemesi sayesinde heuristic (davranışsal) taramalardan da kaçabiliyor.
Diğer bir dikkat çekici özellik ise, komuta-kontrol (C2) sunucusuyla iletişimde karşılıklı TLS (mutual TLS / mTLS) kullanılması. Bu, saldırı trafiğini izlemeyi veya analiz etmeyi ciddi şekilde zorlaştırıyor.
C2 sunucusuyla güvenli iletişim – Kaynak: Cleafy
Google’dan Açıklama
BleepingComputer, yaşanan olayla ilgili olarak Google’a ulaştı. Google sözcüsünün yaptığı açıklama şöyle:
Bu saldırı modeli, NFC altyapısına sahip Android cihazların nasıl temassız saldırılar için istismar edilebileceğini ve kötü niyetli yazılımların nasıl daha sofistike hale geldiğini açıkça gösteriyor.
