I ricercatori di Kaspersky hanno scoperto tre nuove varianti del malware Prilex, realizzato da un gruppo di criminali informatici, che sono in grado di bloccare le transazioni contactless near-field communication (NFC) sui dispositivi infetti per rubare denaro. Le nuove versioni costringono i clienti a utilizzare le loro carte di credito fisiche.
Prilex è un noto attore di minacce, che si è gradualmente trasformato da malware per gli sportelli bancomat (Automated Teller Machine – ATM) a esclusivo malware modulare Point of Sales (PoS). Nel 2022 ha condotto i cosiddetti attacchi “GHOST” per eseguire frodi con le carte di credito, anche su carte protette con CHIP e PIN, tecnologie apparentemente non violabili.
Ora, Prilex si è spinto oltre: durante la gestione di un incidente per un cliente colpito dal malware, i ricercatori di Kaspersky hanno scoperto le tre nuove versioni in grado di bloccare le transazioni di pagamento contactless, che sono diventate estremamente popolari durante la pandemia.
I sistemi di pagamento contactless, come le carte di credito e di debito e altro ancora, compresi gli smartphone, sono tradizionalmente dotati di un sistema di identificazione a radiofrequenza (RFID). Di recente, Samsung Pay, Apple Pay, Google Pay, Fitbit Pay e applicazioni bancarie mobile hanno implementato le tecnologie near-field communication (NFC) per supportare transazioni contactless sicure. Le carte di credito contactless consentono di effettuare pagamenti comodi e sicuri senza la necessità di toccare, inserire o strisciare fisicamente la carta. Ciononostante, Prilex ha imparato a bloccare questo tipo di transazioni attraverso l’implementazione di un file basato su regole che stabiliscono se catturare o meno le informazioni della carta di credito e un’opzione per bloccare le transazioni basate su NFC.
L’obiettivo degli attori malevoli è quello di costringere la vittima a utilizzare la sua carta fisica inserendola nel lettore di PIN pad, in modo che il malware possa catturare i dati provenienti dalla transazione, utilizzando tutti i modi disponibili per Prilex, tra cui la manipolazione dei crittogrammi per eseguire attacchi GHOST.
Un’altra nuova funzionalità è in grado di filtrare le carte di credito in base al loro livello, creando regole diverse per ciascuno. Ad esempio, è possibile bloccare l’NFC e catturare i dati della carta solo se è di tipo Black/Infinite, Corporate o altro con un massimale elevato, molto più interessante rispetto alle carte di credito standard con un saldo/limite basso.
Prilex, attivo in LatAm dal 2014, sembrerebbe essere il responsabile di uno dei più grandi attacchi avvenuti in questa regione. Durante il carnevale di Rio del 2016, ha clonato più di 28.000 carte di credito e svuotato oltre 1.000 sportelli bancomat di istituti di credito brasiliani. Ora ha esteso i suoi attacchi a livello globale. Nel 2019 è stato individuato in Germania, quando una cyber band è riuscita a clonare carte di debito Mastercard emesse dalla banca tedesca OLB, riuscendo a prelevare più di 1,5 milioni di euro da circa 2.000 clienti. Le varianti scoperte di recente sono state rilevate in Brasile, ma potrebbero diffondersi anche in altri Paesi e regioni.
“I pagamenti contactless fanno ormai parte della nostra vita quotidiana e le statistiche mostrano che il segmento retail domina il mercato con una quota superiore al 59% del fatturato globale contactless nel 2021. Queste transazioni sono estremamente comode e particolarmente sicure, quindi è logico che i criminali informatici creino malware che bloccano i sistemi legati all’NFC. Poiché i dati delle transazioni generate durante il pagamento contactless sono inutili dal punto di vista dei criminali informatici, è comprensibile che Prilex abbia bisogno di impedire il pagamento contactless per costringere le vittime a inserire la carta nel terminale PoS infetto”, ha commentato Fabio Assolini, Head of the Latin American Global Research and Analysis Team (GReAT) di Kaspersky.
