Logiciel malveillant mobile SuperCard X

SuperCard X, une plateforme Android de type Malware-as-a-Service (MaaS) jusqu'alors inconnue, fait fureur dans le monde de la cybercriminalité. Elle permet aux attaquants de mener des attaques par relais NFC (communication en champ proche), permettant ainsi des transactions frauduleuses et des retraits aux distributeurs automatiques. Ciblant les clients des banques italiennes, ce malware serait diffusé via Telegram, étendant ainsi sa portée grâce aux réseaux cybercriminels clandestins.

Le point d’entrée trompeur : l’ingénierie sociale à son pire

La SuperCard X utilise une chaîne d'attaque en plusieurs étapes, commençant par des tactiques classiques d'ingénierie sociale. Les victimes sont attirées par des campagnes de smishing ou de faux messages WhatsApp se faisant passer pour des banques, avertissant les utilisateurs d'activités suspectes et les incitant à appeler un numéro de téléphone.

Une fois le contact établi, la tactique se transforme en attaque par téléphone (TOAD). Lors de ces appels, les attaquants convainquent les victimes d'installer ce qui semble être un logiciel de sécurité. Les applications utilisées dans ce stratagème incluent :

• Vérifier la carte (io.dxpay.remotenfc.supercard11)
• SuperCard X (io.dxpay.remotenfc.supercard)
• KingCard NFC (io.dxpay.remotenfc.supercard)

Les victimes sont également manipulées pour divulguer leurs codes PIN et supprimer les limites de transaction, ouvrant ainsi la voie à un vol financier à grande échelle.

Le mécanisme du relais : comment fonctionne la tactique

Au cœur de la SuperCard X se trouve une technique de relais NFC sophistiquée. Voici son fonctionnement :

• Il est demandé aux victimes de tenir leur carte de crédit ou de débit près de leur téléphone infecté.
• L'application Reader sur le téléphone de la victime capture les données de la carte transmises par NFC.
• Ces informations sont envoyées via HTTP à une application Tapper sur l'appareil de l'attaquant.
• L'application Tapper émule les données de carte volées, permettant aux attaquants d'effectuer des transactions PoS ou ATM non autorisées.

Pour relier les appareils, les victimes sont invitées à saisir leurs informations de connexion pendant l'appel, informations qui connectent l'appareil infecté (lecteur) à l'instance Tapper de l'attaquant.

Personnalisation, communication et contrôle

La SuperCard X est modulaire et personnalisable. Son interface de connexion, variable, permet aux différents groupes criminels de l'adapter à leurs campagnes spécifiques. Elle utilise également le protocole TLS mutuel (mTLS) pour la communication chiffrée entre le malware et son infrastructure de commande et de contrôle (C2).

Pour fonctionner, les cybercriminels doivent d'abord enregistrer un compte sur la plateforme SuperCard X, ce qui leur permet de générer des versions de logiciels malveillants personnalisées et de gérer les relais de données NFC de manière transparente.

Rester en sécurité : ce que les utilisateurs doivent savoir

Malgré les tactiques avancées, il existe des moyens de rester protégé :

• Évitez d’installer des applications provenant de sources inconnues ou des liens envoyés par SMS/WhatsApp.
• Examinez attentivement les autorisations, les avis et les descriptions des applications avant de les télécharger.
• Gardez Google Play Protect activé pour analyser et bloquer les applications suspectes.
• Méfiez-vous des messages urgents qui vous invitent à appeler un numéro ou à fournir des données sensibles.

Google développerait de nouvelles fonctionnalités Android pour bloquer les installations d'applications provenant de sources non vérifiées et restreindre les autorisations d'accessibilité, dans le but de couper la méthode de distribution de ce malware à la source.

La vue d’ensemble

SuperCard X n'est pas un simple malware : il représente une évolution menaçante de la cybercriminalité financière. L'exploitation de la technologie des cartes sans contact offre aux attaquants une méthode évolutive pour contourner la sécurité des cartes physiques. À mesure qu'il se développe, il représente une menace sérieuse non seulement pour les institutions bancaires, mais aussi pour les fournisseurs de services de paiement et les émetteurs de cartes du monde entier.