Android-Trojaner NFCShare: 56 bösartige Apps seit April

Die Android-Malware NFCShare zielt erneut auf Finanzinstitute ab und stiehlt Kartendaten über die NFC-Schnittstelle.

Die Malware, die bereits Anfang des Jahres bei der Deutschen Bank auftauchte, wird seit Mitte Mai in einer neuen Kampagne gegen Kunden großer europäischer Finanzinstitute eingesetzt.

Die Angreifer setzen auf eine perfide Mischung: Phishing-Webseiten locken Opfer auf gefälschte Bankportale. Dort werden sie aufgefordert, angebliche Sicherheitsupdates zu installieren. Statt echter Schutzsoftware laden sie jedoch den Trojaner auf ihr Smartphone.

Gefälschte Bankseiten als Einstieg

Anzeige: Die neue NFCShare-Welle trifft auch deutsche Bankkunden. 56 getarnte Apps auf GitHub – mit Kartendaten und PIN sind direkte Transaktionen möglich. Sichern Sie sich jetzt die 3-Schritte-Checkliste. Schutz-Leitfaden jetzt anfordern

Die aktuelle Welle trifft vor allem Kunden italienischer und spanischer Institute. Betroffen sind Intesa Sanpaolo, Sella, der Zahlungsdienstleister Nexi und die spanische CaixaBank. Eine identifizierte Phishing-Domain gab sich als Kundenbereich von Intesa Sanpaolo aus und forderte Nutzer zur Installation vermeintlich notwendiger Sicherheitsupdates auf.

Besonders raffiniert: Die Malware-Dateien liegen nicht direkt auf den Phishing-Seiten. Die Hintermänner leiten ihre Opfer auf GitHub-Repositories weiter. Allein in einem dieser Verzeichnisse fanden Analysten seit April 2026 mindestens 56 bösartige App-Pakete (APKs), getarnt als legitime Bankanwendungen.

NFC-Schnittstelle als Einfallstor

Die neue Version von NFCShare hat sich auf eine Sache spezialisiert: den Missbrauch der NFC-Schnittstelle infizierter Smartphones. Hält ein Opfer seine physische Zahlungskarte ans Handy, liest die Malware sensible Daten aus – Kartennummer (PAN) und Ablaufdatum.

Doch damit nicht genug. Der Trojaner blendet manipulierte WebView-Fenster ein, um die vierstellige PIN abzugreifen. Die gestohlenen Daten wandern über das WebSocket-Protokoll an einen externen Kontrollserver. IT-Sicherheitsforscher stufen das Risiko als hoch ein: Mit Kartendaten und PIN sind direkte betrügerische Transaktionen möglich.

Neue Tricks gegen Sicherheitssoftware

Anzeige: Phishing-Seiten fordern angebliche Sicherheitsupdates – dahinter steckt der NFCShare-Trojaner. Erfahren Sie, wie Sie die 56 gefälschten Apps erkennen und Ihre NFC-Schnittstelle richtig abschalten. Gefälschte-Apps-Liste jetzt sichern

Die Entwickler von NFCShare haben nachgerüstet. Aktuelle Versionen enthalten mehr DEX-Dateien, was die Dekompilierung erschwert. Zudem manipulieren die Angreifer Pfadangaben in der ZIP-Struktur der App-Pakete. Die Folge: Analyse-Tools stürzen ab oder liefern unvollständige Ergebnisse.

Was raten Experten? Apps ausschließlich aus offiziellen Quellen wie dem Google Play Store beziehen. Google Play Protect sollte aktiviert bleiben. Wer Banking-Updates über Links in Mails oder von Plattformen wie GitHub lädt, geht ein erhebliches Risiko ein.

Der Fall reiht sich in eine Serie von Cyberangriffen auf den Finanzsektor ein. Erst kürzlich warnten Analysten vor zunehmendem Betrug und professionelleren Phishing-Kampagnen – nicht zuletzt durch den Einsatz künstlicher Intelligenz.