NFCShare: la campagna che trasforma GitHub in catena di…

NFCShare ruba dati di pagamento tramite NFC e PIN da app bancarie falsificate distribuite su GitHub. La campagna europea ha prodotto oltre 50 APK unici in un mese

{"main_topic":"malware","topics":["malware","cybersecurity","phishing","nfc","android"]}

NFCShare è un malware Android attivo dal gennaio 2026 che ha radicalmente cambiato scala a partire dal 14 maggio 2026, espandendosi dalla sola Deutsche Bank a un arcipelago di istituti italiani e spagnoli. Il cambiamento qualitativo non sta solo nel targeting, ma nella scelta di ospitare i payload su GitHub attraverso un repository camuffato da progetto scolastico, con 57 commit e 56 APK unici documentati entro i primi giorni di giugno 2026.

Punti chiave

NFCShare estrae dati di carte di pagamento tramite comandi EMV su NFC e cattura il PIN tramite interfaccia WebView ingegnerizzata socialmente.
Il repository GitHub 'app-scuola', creato il 10 aprile 2026 secondo BleepingComputer, ha funzionato da pipeline automatizzata con commit scriptati e nomi APK che rispecchiano applicazioni bancarie reali.
I brand impersonati includono Intesa Sanpaolo, Banca Sella, Fideuram, Nexi, Mooney, BCC Roma e CaixaBank, secondo i dati raccolti da d3Lab.
Le build più recenti introducono percorsi ZIP malformati per impedire l'estrazione automatica, passando da 8 a 10 file DEX rispetto alle versioni iniziali.

La pipeline GitHub: un progetto scolastico che nasconde APK bancari

Il repository 'app-scuola' rappresenta un'evoluzione nella distribuzione di malware mobile. Non si tratta di un semplice hosting statico: i ricercatori di d3Lab hanno documentato una struttura con 57 commit e un flusso di aggiornamento che ricorda l'automazione delle pipeline di integrazione continua. Il messaggio di commit ricorrente, 'Aggiornato tutto', suggerisce uno scripting sistematico piuttosto che caricamenti manuali sporadici. Il file README presentava l'applicazione come compito scolastico, abbassando le difese percettive di eventuali controlli automatici o segnalazioni da parte della community.

I nomi dei file APK rispecchiano con precisione le app legittime: IntesaCarte.apk, SellaCarte.apk, CaixaBank.apk. Questa scelta non è estetica ma funzionale, perché riduce il dissonanza cognitiva della vittima nel momento dell'installazione sideloading. Il repository è stato creato il 10 aprile 2026, precedendo di un mese l'espansione della campagna documentata dal 14 maggio 2026.

Il meccanismo NFC: dal sociale al protocollo EMV

Una volta installata, l'applicazione presenta un'interfaccia WebView che simula una procedura di verifica della carta. La vittima è indotta a posizionare la carta di pagamento vicino allo smartphone. A quel punto il malware attiva le API native Android android.nfc.tech.IsoDep per stabilire una sessione ISO-DEP con il chip EMV della carta.

I comandi APDU (Application Protocol Data Unit) includevano la selezione PPSE (Proximity Payment System Environment), un passaggio standard del protocollo EMV per identificare le applicazioni di pagamento presenti sulla carta. Dai riscontri tecnici pubblicati da GBHackers sulla base della ricerca d3Lab, il parsing dei dati di risposta estrae il PAN (Primary Account Number), la data di scadenza, il tipo di carta e l'etichetta dell'emittente. Il PIN, non recuperabile via NFC, viene invece catturato separatamente attraverso la stessa interfaccia WebView, sotto il pretesto di un controllo di sicurezza.

"Il metodo di attacco fondamentale non è cambiato molto, ma l'operazione alle spalle è diventata più rifinita ed evasiva" — rapporto d3Lab via CyberSecurityNews

Evasione e anti-analisi: quando il packaging diventa arma

Le build più recenti di NFCShare introducono una tecnica raramente osservata in malware Android consumer: percorsi ZIP intenzionalmente malformati. Le voci dell'archivio sono radicate sotto directory denominate /AndroidManifest.xml/ e /classes.dex/, nomi che violano le convenzioni di struttura APK. Questo non impedisce l'analisi manuale — come notano i ricercatori — ma aumenta l'attrito contro gli strumenti automatici di estrazione e abbassa i punteggi di matching familiare nei sistemi di analisi più fragili. Il conteggio dei file DEX è passato da 8 a 10 nelle versioni più recenti, indicando un ingrandimento del codebase che potrebbe riflettere l'aggiunta di funzionalità o ulteriori livelli di offuscamento.

Confronto con l'ecosistema NFC-malware: parentela senza identità

Andrea Draghetti, ricercatore di d3Lab, ha esplicitamente confrontato NFCShare con famiglie note come NGate, SuperCard X e RelayNFC. La sua valutazione, riportata da BleepingComputer, è tecnica e cauta: "NFCShare utilizza codice, librerie, architettura e dettagli implementativi distinti... potrebbe comunque rappresentare un'evoluzione dello stesso ecosistema, guidata dagli stessi threat actor". Allo stato attuale non emergono sovrapposizioni infrastrutturali — server C2, nomi di dominio, pattern di staging — che colleghino NFCShare a queste famiglie in modo conclusivo.

L'indirizzo di esfiltrazione documentato è ws://nfck[.]loseyourip[.]com:8001/, un endpoint WebSocket che riceve i dati assemblati in stringhe separate da caratteri &. Il namespace del pacchetto, nfc.share.itnamteis, e il modello interno CardInfoitmanteis fungono da marker di attribuzione familiare coerenti attraverso i campioni analizzati.

Cosa fare adesso

Rivedere i filtri di rilevamento per i pattern di commit automatizzati su repository GitHub pubblici che ospitano APK con nomi istituzionali, specialmente in combinazione con README di contesto educazionale.
Aggiornare le sandbox di analisi APK per gestire percorsi ZIP malformati con voci radicate sotto nomi di file manifest e DEX, evitando fallimenti di estrazione che nasconderebbero la minaccia.
Monitorare il traffico WebSocket verso endpoint non HTTPS su porte non standard, in particolare pattern di connessione da applicazioni con namespace nfc.share.* o comportamenti NFC anomali in background.
Rafforzare le campagne di awareness clienti sui rischi dell'installazione sideloading anche quando la fonte apparente è una piattaforma di sviluppo riconosciuta come GitHub, e sulla richiesta di posizionamento fisico della carta per "verifiche di sicurezza".

Domande frequenti

NFCShare sfrutta una vulnerabilità zero-day di Android?

No. Il malware non utilizza exploit di sicurezza ma ingegneria sociale e sideloading. La vittima installa volontariamente l'APK, spesso dopo aver ricevuto un link phishing o una guida telefonica da un presunto operatore bancario, secondo quanto documentato dalle fonti.

Perché GitHub è stato scelto come piattaforma di distribuzione?

GitHub offre affidabilità infrastrutturale, hosting gratuito e una reputazione che riduce la sospizione automatica. Il camuffamento da progetto scolastico aggiunge un livello di plausibilità sociale che i domini appositamente registrati non garantirebbero.

I dati rubati possono essere usati per transazioni contactless?

Il dossier non specifica se i dati estratti siano stati effettivamente utilizzati in attacchi di relay NFC o clonazione fisica. I dati EMV completi, combinati con il PIN, teorizzano questa possibilità, ma nessuna fonte documenta transazioni fraudolente confermate.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti