Kaspersky: i criminali informatici ora possono bloccare i pagamenti contactless

Kaspersky ha scoperto tre nuove varianti del malware Prilex, realizzato da un gruppo di criminali informatici, che ha preso il nome dal più avanzato malware Point-of-Sales (PoS) del 2022.

Prilex è un noto attore di minacce, che si è gradualmente trasformato da malware per gli sportelli bancomat (Automated Teller Machine - ATM) a esclusivo malware modulare Point of Sales (PoS) – la minaccia PoS più avanzata scoperta finora. Come descritto da Kaspersky nel 2022, Prilex ha condotto i cosiddetti attacchi “GHOST”, che gli hanno permesso di eseguire frodi con le carte di credito, anche su carte protette con CHIP e PIN, tecnologie apparentemente non violabili. Ora, Prilex si è spinto oltre.

Gli esperti di sicurezza si sono chiesti se Prilex fosse in grado di catturare i dati provenienti da carte di credito con tecnologia NFC. Di recente, durante la gestione di un incidente per un cliente colpito da Prilex, i ricercatori di Kaspersky hanno scoperto tre nuove versioni in grado di bloccare le transazioni di pagamento contactless, che sono diventate estremamente popolari durante la pandemia.

I sistemi di pagamento contactless, come le carte di credito e di debito, i portachiavi e altri smart device, compresi gli smartphone, sono tradizionalmente dotati di un sistema di identificazione a radiofrequenza (RFID). Di recente, Samsung Pay, Apple Pay, Google Pay, Fitbit Pay e applicazioni bancarie mobile hanno implementato le tecnologie near-field communication (NFC) per supportare transazioni contactless sicure.

Le carte di credito contactless permettono di effettuare pagamenti comodi e sicuri senza la necessità di toccare, inserire o strisciare fisicamente la carta. Tuttavia, Prilex ha imparato a bloccare questo tipo di transazioni attraverso l’implementazione di un file basato su regole che stabiliscono se catturare o meno le informazioni della carta di credito e un’opzione per bloccare le transazioni basate su NFC.

Poiché le transazioni basate su NFC generano un unico numero di carta valido per una sola transazione, se Prilex rileva una transazione basata su NFC e la blocca.

L’obiettivo del cybercriminale è quello di costringere la vittima a utilizzare la sua carta fisica inserendola nel lettore di PIN pad, in modo che il malware possa catturare i dati provenienti dalla transazione, utilizzando tutti i modi disponibili per Prilex, come la manipolazione dei crittogrammi per eseguire attacchi GHOST. Un’altra nuova funzionalità aggiunta agli ultimi sample Prilex è la possibilità di filtrare le carte di credito in base al loro livello, creando regole diverse per ciascuno. Ad esempio, è possibile bloccare l’NFC e catturare i dati della carta solo se è di tipo Black/Infinite, Corporate o altro con un massimale elevato, molto più interessante rispetto alle carte di credito standard con un saldo/limite basso.

Prilex è attivo in LatAm dal 2014 e sembrerebbe essere il responsabile di uno dei più grandi attacchi avvenuti in questa regione. Durante il carnevale di Rio del 2016, ha clonato più di 28.000 carte di credito e svuotato oltre 1.000 sportelli bancomat di istituti di credito brasiliani. Ora ha esteso i suoi attacchi a livello globale. Nel 2019 è stato individuato in Germania, quando una banda criminale ha clonato carte di debito Mastercard emesse dalla banca tedesca OLB e ha prelevato più di 1,5 milioni di euro da circa 2.000 clienti. Le varianti scoperte di recente sono state rilevate in Brasile, ma potrebbero diffondersi anche in altri Paesi e regioni.