Resumo
Pesquisadores da Group‑IB identificaram uma campanha que distribui um malware Android com suporte NFC denominado Ghost Tap. O malware intercepta dados de pagamento quando vítimas tocam cartões em dispositivos infectados — distribuído via APKs maliciosos por canais como Telegram e usando técnicas de engenharia social para induzir a instalação.
Distribuição e engenharia social
O vetor de entrega documentado envolve APKs disfarçados como apps legítimos enviados por Telegram e outros canais. Os operadores criam iscas convincentes (aplicativos populares, jogos, utilitários) para persuadir usuários a instalar o APK e conceder permissões de NFC, frequentemente sem plena consciência dos riscos.
Mecanismo operacional e persistência
- Leitura NFC: uma vez com permissões, o malware monitora interações NFC em background e captura dados de cartões quando o usuário toca o cartão no dispositivo comprometido.
- Transmissão de dados: as informações capturadas são enviadas para servidores remotos controlados pelos criminosos.
- Persistência: Ghost Tap se registra como um serviço de sistema e integra‑se profundamente ao framework NFC do Android, podendo reinstalar‑se ou manter presença mesmo após tentativas de remoção pelo usuário.
Impacto observado
Variants do malware se fazem passar por aplicações de empresas conhecidas, dificultando detecção por usuários comuns. A análise indica uso dos dados furtados para transações não autorizadas através de terminais POS ilícitos; foram identificadas mais de 54 amostras distintas em canais de distribuição diferentes.
Recomendações técnicas e organizacionais
- Evitar instalação de APKs fora de lojas oficiais; verificar assinatura e procedência antes de instalar.
- Desabilitar NFC quando não for necessário para reduzir a superfície de ataque.
- Empregar soluções de Mobile Device Management (MDM) em contexto corporativo para bloquear instalações não autorizadas e monitorar comportamento de apps.
- Em caso de suspeita de infecção, realizar análise por ferramentas forenses móveis e, se necessário, reinstalar o sistema a partir de imagem limpa fornecida pelo fabricante.
Limitações e pontos não esclarecidos
O relatório descreve persistência avançada, mas não detalha todos os mecanismos exatos usados para reinstalação em dispositivos com proteções modernas (por exemplo, Android com segurança reforçada ou builds OEM). Também não há métricas públicas consolidadas sobre número total de vítimas por país.
Conclusão
Ghost Tap ilustra um vetor móvel pouco explorado pelos noticiários: abuso do NFC combinado com engenharia social e persistência robusta. A recomendação imediata para usuários é cautela com APKs fora de fontes oficiais e desativar NFC quando não estiver em uso; para organizações, MDM e políticas de instalação restritas são medidas prioritárias.