SuperCard X: il malware Android che ruba carte contactless

SuperCard X, un malware Android che sfrutta l’NFC per rubare dati delle carte contactless e aggirare i controlli di sicurezza.

Negli ultimi anni, i pagamenti digitali hanno rivoluzionato la gestione del denaro. Tutto grazie all’integrazione di tecnologie come l’NFC (Near Field Communication) e i portafogli digitali negli smartphone. Le transazioni sono così diventate più rapide, pratiche e diffuse tra utenti di ogni fascia d’età. Tuttavia, queste innovazioni hanno anche attirato l’attenzione dei cybercriminali, da sempre in cerca di nuove fonti di guadagno facile. Lo sfruttamento delle tecnologie contactless ha portato alla distribuzione di malware bancari sempre più evoluti, progettati per sottrarre denaro direttamente dai portafogli virtuali degli utenti.

1. Principali caratteristiche di SuperCard X
2. Modalità di infezione
3. Impatto di SuperCard X
4. Prevenzione e difesa

È in questo contesto che si inserisce SuperCard X, un malware Android individuato dai ricercatori di Cleafy Labs. Impiegato in numerosi attacchi contro utenti italiani, questo software malevolo è in grado di intercettare le comunicazioni NFC tra smartphone e POS, eseguendo transazioni fraudolente da remoto tramite attacchi NFC relay.

In questo articolo analizzeremo nel dettaglio il funzionamento di SuperCard X, le modalità con cui viene distribuito, i rischi per gli utenti e le contromisure da adottare per proteggersi.

Principali caratteristiche di SuperCard X

SuperCard X è un malware bancario per Android distribuito con modello Malware-as-a-Service (MaaS), attraverso una piattaforma centralizzata. La sua promozione avviene su un canale Telegram dedicato, dove vengono pubblicati aggiornamenti, tutorial, video dimostrativi e annunci rivolti a potenziali affiliati. Il linguaggio utilizzato all’interno del canale suggerisce che lo sviluppo e la gestione dell’intero ecosistema siano riconducibili a gruppi di cybercriminali di lingua cinese.

Il malware si basa su due app distinte, che comunicano tra loro tramite diversi server di comando e controllo (C2) basati su protocollo HTTP:

• Reader, identificata da un’icona blu, viene installata sul dispositivo della vittima e intercetta i dati della carta NFC.
• Tapper, contraddistinta da un’icona verde, è installata sul dispositivo degli attaccanti ed emula la carta della vittima. In questo modo è possibile eseguire transazioni fraudolente.

Un delle tecniche chiave impiegate da SuperCard X è l’uso dei messaggi ATR (Answer To Reset), fondamentali nella fase iniziale della comunicazione tra carte e lettori NFC. L’app Reader include include un file preconfigurato con diversi ATR, utilizzabili per simulare vari tipi di carte in modo credibile.

Dopo aver intercettato i dati NFC della vittima, il malware cattura anche il relativo ATR e lo invia al server C2. L’informazione viene poi trasmessa a Tapper, che replica virtualmente la carta e inganna POS e sportelli ATM. Questo sistema permette a SuperCard X di condurre attacchi NFC relay da remoto, bypassando la prossimità fisica e rendendo possibili transazioni illecite in tempo reale.

Modalità di infezione

La diffusione di SuperCard X inizia attraverso campagne di phishing via SMS o WhatsApp, in cui gli attaccanti si spacciano per operatori di noti istituti bancari. I messaggi segnalano un presunto addebito sospetto e invitano la vittima a chiamare un numero di assistenza, in realtà controllato dai cybercriminali. Da qui si attiva uno scenario TOAD (Telephone-Oriented Attack Delivery), un attacco gestito tramite telefonate, in cui le vittime vengono manipolate attraverso tecniche di ingegneria sociale. Lo schema si articola in più fasi, con l’obiettivo finale di installare il malware e sottrarre i dati delle carte di pagamento.

Estrapolazione del PIN della carta

Sfruttando l’ansia generata dalla finta transazione fraudolenta, gli attaccanti convincono l’utente a recuperare o reimpostare il PIN della carta. Spesso viene guidato direttamente all’interno della propria app di mobile banking per trovarlo.

Rimozione dei limiti di spesa

Dopo aver ottenuto l’accesso all’app, i truffatori inducono la vittima a disattivare i limiti di trasferimento o spesa della carta. Questo passaggio consente di massimizzare l’importo sottraibile durante la frode.

Installazione del malware SuperCard X

A questo punto viene proposto il download di un’app di sicurezza tramite link inviato via SMS o WhatsApp. In realtà quest’ultima è il malware SuperCard X, che viene installato sul dispositivo Android e si attiva in background.

Estrapolazione dei dati NFC della carta

Una volta infettato il dispositivo, l’utente viene convinto ad avvicinare la carta allo smartphone, per completare la verifica. In quel momento SuperCard X intercetta i dati NFC e li invia a un server C2, che li trasmette agli attaccanti.

Cash-out fraudolento

Con i dati acquisiti, i cybercriminali eseguono transazioni contactless non autorizzate tramite un secondo dispositivo Android. Nella maggior parte dei casi si tratta di acquisti presso POS, ma possono avvenire anche prelievi da sportelli ATM contactless.

Questa catena di infezione è stata osservata soprattutto in campagne attive in Italia. Tuttavia, la natura modulare del malware e la semplicità dell’attacco suggeriscono un rischio esteso anche ad altri Paesi.

Impatto di SuperCard X

A differenza di molte frodi digitali che colpiscono i clienti di specifici istituti bancari, SuperCard X prende di mira direttamente la carta di pagamento, indipendentemente dalla banca emittente. Questo approccio rende il malware più pervasivo e potenzialmente applicabile a un numero molto più ampio di utenti.

Un altro elemento critico è la velocità di esecuzione dell’attacco. Le transazioni avvengono in tempo reale, sfruttando la comunicazione NFC relay tra dispositivi. A differenza di operazioni bancarie, come i bonifici internazionali che possono essere monitorati e bloccati, i fondi sottratti tramite SuperCard X vengono spesi immediatamente, riducendo le possibilità di rilevamento da parte dei sistemi antifrode.

Inoltre, a differenza dei malware bancari più complessi, SuperCard X adotta un profilo operativo essenziale ma mirato. Il suo unico scopo è intercettare e trasmettere dati NFC, evitando funzionalità avanzate che possano sollevare sospetti. Richiede solo i permessi minimi per l’accesso all’NFC, abbinati ad autorizzazioni generiche già presenti in molte app legittime. Questo lo rende particolarmente difficile da rilevare, anche per gli utenti più attenti.

Prevenzione e difesa

Alla luce delle tecniche d’infezione adottate da SuperCard X, è fondamentale adottare comportamenti consapevoli per ridurre il rischio di compromissione del dispositivo. Di seguito, sono riportate alcune buone pratiche di sicurezza da seguire:

• Scaricare le app solo da fonti ufficiali.
  Evitare marketplace non verificati o link ricevuti via SMS/WhatsApp. Le app installate da fonti di terze parti sono unno dei principali veicoli per malware Android, come SuperCard X, che si presentano come strumenti legittimi.
• Verifica sempre l’identità di chi chiama a nome della banca.
  In caso di telefonate sospette che si spacciano per assistenza clienti, non fornire mai dati personali o bancari senza prima effettuare una verifica. È buona norma richiamare l’istituto bancario tramite i canali ufficiali.
• Non condividere dati sensibili su moduli non verificati.
  Evita di inserire email, numero di telefono o credenziali su siti sconosciuti. Queste informazioni possono alimentare campagne di phishing personalizzato. Accertati sempre che il sito sia affidabile e dotato di connessione HTTPS.
• Mantenere il dispositivo aggiornato.
  Installa regolarmente gli aggiornamenti di sistema e delle app. Le patch di sicurezza risolvono vulnerabilità sfruttabili dai malware e costituiscono una delle prime difese contro le minacce digitali.

Un altro malware che minaccia i dispositivi Android è Keenadu.