✔Троян CraxsRAT использует NFCGate для кражи денег у российских пользователей - «Новости»

Аналитики компании F6 обнаружили новые атаки на клиентов российских банков с использованием связки Android-трояна CraxsRAT и приложения NFCGate. Теперь злоумышленники могут без звонка устанавливать на устройства пользователей малварь, способную дистанционно перехватывать данные банковских карт через NFC-модули. По данным компании, в марте 2025 года в России суммарно насчитывалось свыше 180 000 скомпрометированных устройств, на которых установлены CraxsRAT и NFCGate. Напомним, что мы уже не раз рассказывали (1, 2, 3) о таких атаках, которые впервые попали в поле зрения ИБ-экспертов осенью 2023 года, когда стали появляться сообщения об атаках на клиентов крупных чешских банков. Атаки построены вокруг злоупотребления опенсорсным приложением NFCGate, которое в 2015 году создали студенты Дармштадтского технического университета. Оно предназначено для отладки протоколов передачи NFC-данных. Приложение поддерживает множество функций, но наибольший интерес для злоумышленников представляет захват NFC-трафика приложений и передача его на удаленное устройство, которым может выступать или сервер, или непосредственно смартфон атакующего. В начале 2025 года эксперты F6 предупреждали о росте числа скомпрометированных устройств пользователей из России, на которых одновременно используются CraxsRAT и NFCGate. Тогда исследователи прогнозировали, что при отсутствии эффективного централизованного противодействия этой схеме мошенничества волна атак на клиентов российских банков продолжит расти. К сожалению, этот прогноз уже претворяется в жизнь. По данным аналитиков, в феврале 2025 года число заражений CraxsRAT в России увеличилось в 2,5 раза по сравнению с декабрем 2024 года, а количество скомпрометированных Android-устройств, на которых была установлена эта малварь, превысило 22 000. Общая сумма ущерба клиентов российских банков за первые два месяца 2025 года оценивается почти в 200 000 000 рублей. При этом в феврале число таких атак увеличилось на 80% по сравнению с январем, а общее количество скомпрометированных Android-устройств, на которых установлены вредоносные версии NFCGate, по итогам февраля превысило 158 000 и продолжает расти. Кроме того, исследователи предупреждают, что злоумышленники изменили тактику. В начале 2025 года для доставки NFCGate на устройства пользователей в основном применялись телефонные звонки и сообщения в мессенджерах. Под предлогами «защиты» банковской карты, получения более выгодных условий от банка, взлома личного кабинета «Госуслуг», продления договора сотовой связи, замены медицинского полиса, оплаты услуг ЖКХ, требований безопасности, подтверждения личности жертву убеждали в необходимости установки специального мобильного приложения. Сейчас злоумышленники чаще выбирают для доставки NFCGate вышеупомянутый троян CraxsRAT. На это указывает увеличение доли устройств, на которых одновременно используются CraxsRAT и NFCGate. Кроме того, специалисты F6 обнаружили в даркнете объявления об аренде вредоносного софта, объединяющего возможности этих приложений. Совместное применение CraxsRAT и NFCGate расширяет возможности хакеров. Так, главная опасность заключается в том, что злоумышленникам больше не нужно звонить жертвам и убеждать их в необходимости установить некое «приложение». Теперь для передачи контроля над своим смартфоном достаточно неосторожно установить одно приложение, замаскированное под полезную программу. В итоге преступники получат полный доступ ко всем банковским приложениям, возможность перехватывать уведомления и коды подтверждения, а также обналичивать похищенные со счетов деньги. Основной вектор распространения CraxsRAT – социальная инженерия. Через мессенджеры (включая WhatsApp и Telegram) злоумышленники рассылают вредоносные APK-файлы, замаскированные под фотоархивы, видеофайлы и различные приложения. Так, специалисты обнаружили более 140 уникальных образцов CraxsRAT. Чаще всего такая малварь маскируется под: «Фотографии.apk», «Photo.apk» и «Мои голые видео.apk»; приложения госсервисов и ведомств («Госуслуги», «Минздрав», «Минцифры», «Центральный банк РФ» и так далее); фейковое приложение «ГосЗащита»; приложения для работы с документами; приложения для просмотра видео; приложения для обработки фотографий; приложения мобильных операторов России и Беларуси; популярные антивирусы; приложения для защиты от спам-звонков; «теневые» версии Telegram и другие модули для мессенджера (например, Telegram Video Player). Также специалисты обнаружили более 100 уникальных образцов Android-малвари на основе NFCGate. Такие вредоносы чаще всего имитируют: приложения госсервисов и ведомств (в том числе ФНС, Банка России, Минцифры); несуществующие приложения госструктур (например, «Защита карт ЦБ РФ», «Госуслуги Верификация», «Сертификат Безопасности», «GosSecure»); приложение «Поддержка»; 5G; приложения мобильных операторов; популярные антивирусы; приложения для бесплатных звонков через интернет; приложения для видеосвязи; программы для бесконтактных платежей; приложение для диагностики автомобилей. «Используя связку CraxsRAT и NFCGate, злоумышленники могут вывести деньги со счетов пользователя без единого звонка. Это открывает для преступников новые возможности как для операций по обналичиванию похищенных средств, так и для полного цикла мошенничества. Такая комбинация вредоносов позволяет получить полноценный доступ к мобильному устройству, включая приложения дистанционного банковского обслуживания. Злоумышленники могут перехватывать как уведомления и коды подтверждения от банка, так и авторизационные данные, у них появляется возможность прямого обналичивания средств с карты жертвы за счет перехвата NFC-трафика и компрометации данных карты», — комментирует Константин Гребенюк, специалист по противодействию финансовому мошенничеству компании F6.