По данным F6 (ранее F.A.C.C.T.), за первые 10 месяцев 2025 г. у клиентов российских банков украли не менее 1,6 млрд руб. с помощью вредоносного программного обеспечения (ПО) NFCGate, позволяющего дистанционно управлять чужим смартфоном и делать виртуальные клоны банковских карт. Было отмечено не менее 56 тыс. таких ИТ-атак.
Один из распространенных способов мошенничества выглядит так: злоумышленники берут за основу легитимное приложение NFCGate для Android (оно предназначено для разработчиков и банков, чтобы копировать и анализировать near field communication (NFC)-трафик). На его базе создается вредоносная версия.
Когда пользователь-жертва устанавливает такое приложение, оно просит для проверки или для привязки карты приложить банковскую карту к телефону и ввести PIN-код. В этот момент номер карты, срок действия и введенный PIN мгновенно отправляются мошенникам. С этими данными они могут легко снять деньги со счета жертвы или расплачиваться картой в интернете.
При этом существует обратная версия схемы, когда вместо перехвата NFC-данных карты пользователя хакеры создают на его устройстве клон собственной карты. Затем, когда жертва через банкомат попытается зачислить деньги на свой счет, вся сумма отправится на карту злоумышленника.
Банки выявляют транзакции через виртуальные NFC-клоны по аномалиям в поведении платежей — например, несоответствие геолокации устройства и места проведения операции, слишком быстрые или частые транзакции и прочее, когда деньги уходят на чужой счет.
Аналитики F6 выявили третий вариант кражи денежных средств с помощью NFCGate. Приложение было интегрировано в троян удаленного доступа RatOn, что позволило хакерам незаметно для пользователя похищать деньги не только с его банковского счета, но и с криптокошельков.
RatOn делает снимок экрана каждые 50 микросекунд (мс) и непрерывно передает злоумышленнику все текстовые данные с экрана пользователя, объясняет представитель F6. Мобильное приложение также позволяет подменять чувствительные данные (например, номера банковских счетов), использовать черные окна, чтобы закрывать пользователю экран и скрыть свои действия, выводить на экран нужный текст или открывать вредоносный веб-ресурс, а также отправлять с устройства пользователя SMS.
Благодаря этой схеме злоумышленники получают полный контроль над зараженным устройством и могут: незаметно красть деньги с банковских счетов прямо через установленные банковские приложения; компрометировать личные данные, открывая уже авторизованные социальные сети, мессенджеры и другие аккаунты.
Тот факт, что ИТ-разработчики предусмотрели для RatOn возможность работать с приложениями на русском языке, указывает на высокий риск дальнейшей модификации вредоноса.
