Den Wechsel von NFCGate zu HandyPay führt ESET vor allem auf finanzielle Erwägungen zurück, wobei auch die Tarnung eine wichtige Rolle spielt. Die Forscher verweisen auf die hohen Kosten spezialisierter NFC-Relay-Werkzeuge wie NFU Pay und TX-NFC, die auf infizierten Geräten zudem auffällig agieren.
„NFU Pay bewirbt sein Produkt für fast 400 US-Dollar pro Monat, TX-NFC kostet etwa 500 US-Dollar pro Monat. HandyPay hingegen ist deutlich günstiger und verlangt lediglich eine Spende von 9,99 Euro im Monat, wenn überhaupt“, erklärt ESET. Hinzu komme, dass HandyPay von Haus aus keine Berechtigungen benötige, sondern lediglich als Standard-Zahlungs-App festgelegt werden müsse – das helfe den Angreifern, keinen Verdacht zu erregen.
Die Kampagne nutzt zwei Verbreitungswege. Beim ersten werden Nutzer dazu verleitet, eine gefälschte App namens „Proteção Cartão“ herunterzuladen, die Schutzfunktionen für die Karte verspricht und auf einer nachgebauten Google-Play-Seite angeboten wird.
Der zweite Weg setzt auf eine gefälschte Lotterie-Website: Besucher „gewinnen einen Preis“ und werden zu WhatsApp weitergeleitet, um ihn einzulösen – was schließlich zum Download der schädlichen APK führt.
Nach der Installation fordert die App den Nutzer auf, sie als Standard-Zahlungs-App für NFC festzulegen, verlangt die Karten-PIN und bittet darum, die Karte zum Auslesen an das Telefon zu halten. Alle so gesammelten Daten werden an eine im Programm fest hinterlegte E-Mail-Adresse des Angreifers übermittelt.
ESET rät Android-Nutzern, APKs niemals außerhalb von Google Play herunterzuladen, sofern sie dem Anbieter nicht ausdrücklich vertrauen, NFC bei Nichtgebrauch zu deaktivieren und mit Play Protect nach Bedrohungen zu suchen. Play Protect erkennt und blockiert die neueste NGate-Variante.