Mια νέα, πιο εξελιγμένη παραλλαγή της οικογένειας κακόβουλου λογισμικού NGate εντόπισε το Ερευνητικό Κέντρο της ESET, η οποία εκμεταλλεύεται τη νόμιμη εφαρμογή Android HandyPay. Οι δράστες τροποποίησαν την εφαρμογή που χρησιμοποιεί τεχνολογία NFC, ενσωματώνοντας κακόβουλο κώδικα ο οποίος φαίνεται να έχει παραχθεί, τουλάχιστον εν μέρει, με εργαλεία τεχνητής νοημοσύνης.

Όπως και σε προηγούμενες εκδόσεις του NGate, το malware επιτρέπει την υποκλοπή δεδομένων NFC από κάρτες πληρωμών των θυμάτων και τη μεταφορά τους στη συσκευή των επιτιθέμενων. Με αυτόν τον τρόπο μπορούν να πραγματοποιούν ανέπαφες αναλήψεις μετρητών από ΑΤΜ ή μη εξουσιοδοτημένες πληρωμές. Παράλληλα, το κακόβουλο λογισμικό έχει τη δυνατότητα να καταγράφει PIN καρτών και να τα αποστέλλει σε διακομιστές ελέγχου (C&C), δίνοντας στους δράστες πλήρη πρόσβαση στα στοιχεία των θυμάτων.

Η κύρια γεωγραφική στόχευση εντοπίζεται στη Βραζιλία, ωστόσο οι ειδικοί προειδοποιούν ότι επιθέσεις αυτού του τύπου, που βασίζονται στην τεχνολογία NFC, εμφανίζουν τάσεις εξάπλωσης και σε άλλες περιοχές.

Κώδικας μέσω GenAI

Ιδιαίτερο ενδιαφέρον παρουσιάζει το γεγονός ότι ο κώδικας που χρησιμοποιήθηκε για την τροποποίηση του HandyPay φέρει ενδείξεις δημιουργίας μέσω GenAI. Συγκεκριμένα, σε αρχεία καταγραφής εντοπίστηκε emoji που θεωρείται χαρακτηριστικό περιεχομένου παραγόμενου από μεγάλα γλωσσικά μοντέλα (LLM), στοιχείο που ενισχύει την υπόθεση ότι χρησιμοποιήθηκαν εργαλεία τεχνητής νοημοσύνης – χωρίς ωστόσο να υπάρχει ακόμη οριστική επιβεβαίωση.

Σύμφωνα με την ESET, η υπόθεση αυτή εντάσσεται σε μια ευρύτερη τάση: η αξιοποίηση της GenAI από κυβερνοεγκληματίες επιτρέπει ακόμη και σε λιγότερο έμπειρους χρήστες να δημιουργούν αποτελεσματικό κακόβουλο λογισμικό.

Η εκστρατεία διάδοσης της μολυσμένης έκδοσης του HandyPay εκτιμάται ότι ξεκίνησε τον Νοέμβριο του 2025 και παραμένει ενεργή. Αξίζει να σημειωθεί ότι η κακόβουλη έκδοση της εφαρμογής δεν διανεμήθηκε ποτέ μέσω του επίσημου Google Play Store. Η ESET ενημέρωσε την Google στο πλαίσιο της συνεργασίας τους στην App Defense Alliance, ενώ επικοινώνησε και με τους δημιουργούς της εφαρμογής, ώστε να τους ειδοποιήσει για την κακόβουλη εκμετάλλευσή της.