NFCShare Androidマルウェア、偽装バンキングアプリを通じて拡散

正規のバンキングアプリに偽装してNFCカードデータを窃取する、Androidバンキング型トロイの木馬「NFCShare」の新たな攻撃波が確認されています。手口はより洗練され、運用面での改良が重ねられています。

2026年1月に初めて記録されたNFCShareは、引き続きソーシャルエンジニアリングによるフィッシング手法に依存しており、被害者に悪意のあるAPKをサイドロードさせます。2026年5月14日以降、このキャンペーンはイタリアおよびヨーロッパ全域の銀行ブランドへとターゲットを移行しており、自動解析を妨害するためにリビルド頻度の増加やパッケージング対策が強化されています。

攻撃の入り口となるのは、Intesa Sanpaoloを模倣した巧妙な銀行テーマのフィッシングサイトです。最近では areaclienti-intesa[.]com として確認されており、ホームバンキングの認証情報を要求したうえで、被害者にバンキングアプリの「アップデート」を促します。

被害者は短縮URL（例：https://tinyurl[.]com/Intesa-Carte）を経由して、app-scuolaという名前のGitHubリポジトリにホストされたAPKへリダイレクトされます。

このリポジトリは軽量な配布ハブとして機能しており、短いREADMEと小さなシェルスクリプトが頻繁なコミットと自動プッシュを支援しています。

D3 LabがGBhackersと共有したレポートによると、Deutsche Bankを装ったフィッシングフローを通じて悪意のあるAPKとして配布されるAndroidバンキング型トロイの木馬「NFCShare」の詳細な分析が実施されました。

Gitの履歴を分析すると、数十の個別APKブロブが確認されており、Intesa Carte.apk、Sella Carte.apk、CaixaBank.apk、Nexi Carte.apkといった囮ファイル名で急速にブランドを切り替えていることがわかります。

技術的な観点では、最近のサンプルはNFCShareのコア機能を維持しています。WebViewベースのローカルHTMLのUIで被害者にスマートフォンへ支払いカードをかざすよう誘導し、android.nfc.tech.IsoDep を使ったネイティブNFCリーダーコードでEMV APDU（PPSEセレクトを含む）を発行します。さらにEMVのパースによってカードPAN、有効期限、ラベルを抽出し、WebViewに入力された4桁のPINを取得する仕組みも備えています。

抽出されたデータはアンパサンド区切りの単純な文字列に組み立てられ、WebSocket経由のC2サーバへ送信されます。ファミリーの識別子は変わらず、パッケージ名前空間 nfc.share.itnamteis、CardInfoitmanteis モデル、MQTTライクなチャンネル列挙型（CARD_INFO_CHANNEL、SEND_CHANNEL）が維持されており、帰属分析や脅威ハンティングに活用できます。

運用面での進化は微妙ながらも重要です。新しいビルドではDEXファイル数の増加（8から10へ）、C2の変更（例：ws://nfck[.]loseyourip[.]com:8001/）、そして /AndroidManifest.xml/ や /classes.dex/ 配下をルートとするエントリを含む不正なZIPパスを用いた積極的なパッケージング戦術が確認されています。

APKはZIPアーカイブであるため、絶対パスや不正なパスへの書き込みを試みる単純な展開ツールは解析ホスト上でエラーが発生し、自動化されたパイプラインが失敗することがよくあります。

これらの「汚染された」パスはJADXやapkInspectorのような手動解析ツールによるコード復元を妨げるものではありませんが、脆弱なシステムにおける検出やファミリーマッチングのスコアを低下させる摩擦を生み出します。

UIフローは引き続きソーシャルエンジニアリングの核心となっています。ローカルHTMLテンプレートは、時にポルトガル語などのローカライズされた文字列を用いて、「セキュリティ上の理由から」カードをスマートフォンに近づけてPINを入力するよう促します。

NFCから取得したカードデータとPINの組み合わせにより、攻撃者は詐欺やカードクローニングに十分な情報を手に入れることができます。

また、このキャンペーンには不明なソースからのインストールを有効にする手順を被害者に案内するため、偽の銀行担当者からのSMSや電話といった追加のソーシャルエンジニアリングが含まれる場合もあります。

検出と緩和策のガイダンスは明快です。未知のAPKをサイドロードしないこと、公式アプリストアを通じてバンキングアプリのアップデートを確認すること、銀行は顧客に対して一方的な「アップデート」の促しや短縮URLへの警戒を呼びかけること、そして解析担当者は展開の失敗を無害なエラーではなく侵害の指標として扱い、apkInspectorのような堅牢なツールを使用してアーティファクトを復元することが推奨されます。

IOC（侵害指標）

注： IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）されています。MISP、VirusTotal、またはSIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみリファング処理を行ってください。