Malware móvil SuperCard X
Una plataforma de malware como servicio (MaaS) para Android, previamente desconocida, llamada SuperCard X, está causando sensación en el mundo de la ciberdelincuencia. Permite a los atacantes realizar ataques de retransmisión de comunicación de campo cercano (NFC), lo que permite transacciones fraudulentas y retiros en cajeros automáticos. Dirigido a clientes bancarios en Italia, se cree que este malware se promociona a través de canales de Telegram, expandiendo su alcance mediante redes clandestinas de ciberdelincuentes.
Tabla de contenido
El punto de entrada engañoso: la ingeniería social en su peor expresión
La SuperCard X emplea una cadena de ataque de varias etapas, comenzando con tácticas clásicas de ingeniería social. Las víctimas son atraídas mediante campañas de smishing o mensajes falsos de WhatsApp que se hacen pasar por entidades bancarias, alertando a los usuarios sobre actividad sospechosa y pidiéndoles que llamen a un número de teléfono.
Una vez establecido el contacto, la táctica se intensifica hasta convertirse en un ataque telefónico (TOAD). Durante estas llamadas, los atacantes convencen a las víctimas de instalar lo que parece ser un software de seguridad. Las aplicaciones utilizadas en esta estrategia incluyen:
- Verifica Carta (io.dxpay.remotenfc.supercard11)
- SuperCard X (io.dxpay.remotenfc.supercard)
- KingCard NFC (io.dxpay.remotenfc.supercard)
Las víctimas también son manipuladas para que revelen códigos PIN y eliminen los límites de transacciones, lo que prepara el terreno para el robo financiero a gran escala.
El mecanismo de relevo: cómo funciona la táctica
La SuperCard X se basa en una sofisticada técnica de retransmisión NFC. Así funciona:
- Se pide a las víctimas que mantengan su tarjeta de crédito o débito cerca de su teléfono infectado.
- La aplicación Reader del teléfono de la víctima captura los datos de la tarjeta transmitidos por NFC.
- Esta información se envía a través de HTTP a una aplicación Tapper en el dispositivo del atacante.
- La aplicación Tapper emula los datos de la tarjeta robada, lo que permite a los atacantes realizar transacciones no autorizadas en PoS o cajeros automáticos.
Para vincular los dispositivos, se indica a las víctimas que ingresen credenciales de inicio de sesión durante la llamada; credenciales que conectan el dispositivo infectado (Reader) con la instancia Tapper del atacante.
Personalización, Comunicación y Control
La SuperCard X es modular y personalizable, con variaciones en la interfaz de inicio de sesión que sugieren que los diferentes grupos delictivos la adaptan a sus campañas específicas. Además, emplea TLS mutuo (mTLS) para la comunicación cifrada entre el malware y su infraestructura de Comando y Control (C2).
Para operar, los cibercriminales primero deben registrar una cuenta en la plataforma SuperCard X, lo que les permite generar compilaciones de malware personalizadas y administrar relés de datos NFC sin problemas.
Mantenerse seguro: lo que los usuarios deben saber
A pesar de las tácticas avanzadas, existen formas de mantenerse protegido:
- Evite instalar aplicaciones de fuentes desconocidas o enlaces enviados por SMS/WhatsApp.
- Examine los permisos, las reseñas y las descripciones de las aplicaciones antes de descargarlas.
- Mantenga Google Play Protect habilitado para escanear y bloquear aplicaciones sospechosas.
- Tenga cuidado con los mensajes urgentes que le piden que llame a un número o proporcione datos confidenciales.
Según se informa, Google está desarrollando nuevas funciones de Android para bloquear la instalación de aplicaciones de fuentes no verificadas y restringir los permisos de accesibilidad, con el objetivo de cortar el método de distribución de este malware en la fuente.
El panorama más amplio
SuperCard X no es un simple malware más: representa una amenazante evolución en el cibercrimen financiero. El uso de la tecnología de tarjetas sin contacto ofrece a los atacantes un método escalable para eludir la seguridad de las tarjetas físicas. A medida que se expande, representa una grave amenaza no solo para las instituciones bancarias, sino también para los proveedores de pagos y emisores de tarjetas de todo el mundo.
