NFCShare安卓恶意软件通过恶意银行应用程序传播

NFCShare Android 银行木马程序卷土重来，经过改进和完善，能够伪装成合法的银行应用程序，窃取 NFC 卡数据。

NFCShare 最早于 2026 年 1 月被记录在案，它继续依靠社会工程网络钓鱼流程，诱骗受害者侧载恶意 APK；自 2026 年 5 月 14 日以来，该活动已转向意大利和更广泛的欧洲银行品牌，并增加了重建和打包措施的频率，旨在阻碍自动分析。

攻击者的攻击之旅始于一个极具说服力的银行主题钓鱼网站，最近发现该网站名为 areaclienti-intesa[.]com，它模仿 Intesa Sanpaolo，要求受害者提供网上银行凭证，然后指示受害者“更新”他们的银行应用程序。

受害者通过缩短的 URL（例如 https://tinyurl[.]com/Intesa-Carte）重定向到托管在名为 app-scuola 的 GitHub 存储库中的 APK。

该存储库充当轻量级分发中心：一个简短的 README 文件和一个小型 shell 脚本支持频繁提交和自动推送。

D3 Lab 在一份与 GBhackers 分享的报告中表示，他们分析了 NFCShare，这是一款 Android 银行木马，通过冒充德意志银行的网络钓鱼流程以恶意 APK 的形式传播。

提取的数据被组装成一个简单的以 & 符号分隔的字符串，并被泄露到 WebSocket C2。家族标记保持完整，包命名空间 nfc.share.itnamteis、CardInfoitmanteis 模型和类似 MQTT 的通道枚举（CARD_INFO_CHANNEL、SEND_CHANNEL）有助于归因和追踪。

操作上的演变虽然细微，但意义重大。新版本显示出更高的 DEX 数量（10 对比 8），更改了 C2（例如 ws://nfck[.]loseyourip[.]com:8001/），以及激进的打包策略：格式错误的 ZIP 路径，其中包含根植于 /AndroidManifest.xml/ 和 /classes.dex/ 下的条目。

由于 APK 是 ZIP 归档文件，因此尝试写入绝对路径或格式错误的路径的简单提取器会在分析主机上遇到写入错误，并且自动化流程经常会失败。

这些“被污染的”路径并不会阻止 JADX 和 apkInspector 等手动分析工具恢复代码，但它们会增加脆弱系统中的摩擦并降低检测或家族匹配分数。

用户界面流程仍然是社会工程攻击的重点。本地化的 HTML 模板会提示用户（有时会使用葡萄牙语或其他本地化字符串）将卡片靠近并输入 PIN 码“以确保安全”。

将 NFC 衍生的卡片数据与捕获的 PIN 码相结合，可以为攻击者提供足够的信息，以进行欺诈和卡片克隆。

该活动可能还包括后续的社会工程攻击，例如冒充银行工作人员通过短信或电话引导受害者安装来自未知来源的启用程序。

检测和缓解指南很简单：不要侧载未知 APK；通过官方应用商店验证银行应用程序更新；银行应警告客户注意未经请求的“更新”提示和缩短的 URL；分析人员应将提取失败视为指标而不是良性错误，并使用 apkInspector 等可靠的工具来恢复工件。

相关IOC