Die slowakische Sicherheitsfirma ESET hatte NGate, auch NFSkate genannt, erstmals im August 2024 dokumentiert und damals dessen Fähigkeit beschrieben, über Relay-Angriffe kontaktlose Zahlungsdaten abzugreifen und für betrügerische Transaktionen zu nutzen. Ein Jahr später beschrieb die niederländische Sicherheitsfirma ThreatFabric eine Bedrohung mit dem Namen RatOn, die Dropper-Apps einsetzte, welche sich als nicht jugendfreie TikTok-Varianten ausgaben, um NGate für NFC-Relay-Angriffe auszuliefern.

Die nun von ESET entdeckte Version richtet sich vor allem gegen Nutzer in Brasilien – die erste Kampagne, die das südamerikanische Land gezielt ins Visier nimmt. Die manipulierte HandyPay-App wird über gefälschte Websites verbreitet: Eine gibt sich als die Lotterie Rio de Prêmios der staatlichen Lotteriegesellschaft von Rio de Janeiro aus, eine andere imitiert eine Google-Play-Store-Seite für eine angebliche Karten-Schutz-App.

Auf der gefälschten Lotterie-Seite werden Nutzer aufgefordert, per Knopfdruck eine WhatsApp-Nachricht zu senden, um den Gewinn einzufordern – woraufhin sie zum Download der präparierten HandyPay-App geleitet werden. Unabhängig vom Weg verlangt die App nach der Installation, als Standard-Zahlungs-App festgelegt zu werden.

Anschließend soll das Opfer die Karten-PIN eingeben und seine Karte an die Rückseite des NFC-fähigen Smartphones halten. Sobald dies geschieht, missbraucht die Malware HandyPay, um die NFC-Kartendaten zu erfassen und an ein von den Angreifern kontrolliertes Gerät weiterzuleiten, das damit Bargeld an Geldautomaten abheben kann.

Die aktive Kampagne soll um November 2025 begonnen haben. Die schädliche HandyPay-Version war nie im Google Play Store verfügbar; die Angreifer setzen daher auf die beschriebenen Verbreitungswege, um arglose Nutzer zum Download zu bewegen. HandyPay hat inzwischen eine interne Untersuchung eingeleitet.

Nach Einschätzung von ESET könnten die günstigeren Abopreise von HandyPay die Betreiber dazu bewogen haben, von etablierten Komplettlösungen umzusteigen, die mehr als 400 US-Dollar pro Monat kosten. „Neben dem Preis verlangt HandyPay von Haus aus keinerlei Berechtigungen, sondern muss lediglich als Standard-Zahlungs-App eingerichtet werden – das hilft den Angreifern, keinen Verdacht zu erregen“, so das Unternehmen.

Eine Analyse des Schadcodes ergab Emojis in Debug- und Toast-Meldungen, was auf den möglichen Einsatz eines großen Sprachmodells (LLM) zur Erzeugung oder Veränderung des Quellcodes hindeutet. Ein eindeutiger Beweis fehle zwar, doch passe der Befund zu einem breiteren Trend, bei dem Cyberkriminelle generative KI nutzen, um auch ohne nennenswerte technische Kenntnisse Schadsoftware zu erstellen.

„Mit dem Auftauchen einer weiteren NGate-Kampagne zeigt sich deutlich, dass NFC-Betrug zunimmt“, erklärte ESET. Statt einer etablierten Lösung wie NFCGate oder eines Malware-as-a-Service-Angebots hätten die Angreifer diesmal HandyPay trojanisiert – eine Anwendung, die bereits über eine Funktion zur NFC-Weiterleitung verfügt.