Вредоносная программа WindRelay для Android превращает телефоны жертв в NFC-реле для мошенничества с платежами.

[admin]

Ранее неизвестное семейство вредоносных программ для Android, использующих технологию ближней бесконтактной связи ( NFC ) и получившее название WindRelay , развертывается совместно с известным трояном удаленного доступа (RAT) SpyNote в рамках схемы мошенничества с бесконтактными платежами.


По данным Group-IB, специально разработанное вредоносное ПО предназначено для перехвата данных банковских карт в режиме реального времени с помощью NFC и передачи их мошенникам в режиме реального времени. Впервые оно было обнаружено в сети в конце августа 2025 года.


«Доступ к службе специальных возможностей SpyNote позволяет мошеннику незаметно установить и активировать приложение NFC, при этом функция демонстрации экрана никогда не запускается», — заявили исследователи Александр Грабко, Константинос Ангелопулос, Павлос Гайтанис и Бруно Биелич .


Эти атаки обычно работают путем заманивания потенциальных жертв с помощью фишинга, смишинга или вишинга с целью установки вредоносного приложения. После установки злоумышленник использует удаленный доступ SpyNote для установки вредоносного ПО NFC-ретранслятора без какого-либо дальнейшего взаимодействия с пользователем.


Для придания убедительности схеме, APK-файл, распространяемый во время телефонного разговора, персонализируется именем жертвы, что указывает на индивидуальный подход к каждой цели. Это свидетельствует о фазе предварительной разведки, в ходе которой злоумышленник собирает имя и номер телефона жертвы, чтобы сделать предлог для социальной инженерии более убедительным.

Впоследствии жертву обманным путем заставляют приложить свою физическую платежную карту к зараженному телефону под предлогом подтверждения личности или смены PIN-кода и проверки банковской карты после предполагаемого взлома ее счета.

Таким образом, устройство жертвы незаметно для неё превращается в платежный посредник и активный канал для мошенничества с бесконтактными платежами, позволяя вредоносному ПО перехватывать и считывать радиосигналы карты с помощью NFC и передавать их в режиме реального времени на отдельное устройство мошенника.


WindRelay не является исключением, поскольку включает в себя два компонента, работающих синхронно друг с другом.

• Считывающее устройство, установленное на устройстве жертвы, взаимодействует с физической платежной картой через NFC.
• Компонент эмулятора, устанавливаемый на устройство злоумышленника, который имитирует работу карты в платежном терминале.

Эти два компонента взаимодействуют через общую инфраструктуру управления и контроля (C2) по протоколу WebSocket, передавая команды и ответы EMV APDU между терминалом и картой жертвы в режиме реального времени.



Эти события происходят на фоне распространения вредоносного ПО, использующего технологию NFC-ретрансляции распространилось за пределы Чехии в Бразилию, Польшу и Словакию . и нацеленного на Android, которое за последний год


Главное преимущество этой техники, также называемой Ghost Tap, заключается в том, что она позволяет киберпреступникам оставаться анонимными и осуществлять вывод средств в более крупных масштабах, поскольку захват данных NFC клиентов банка позволяет имитировать их банковскую карту на собственном устройстве и использовать ее для снятия наличных или совершения платежей.


«Теоретически, у них могли бы быть целые фермы телефонов Android, на которые загружены скомпрометированные данные банковских карт, позволяющие автоматически совершать мошеннические транзакции», — отмечалось в отчете ESET, опубликованном в прошлом году.

Последние данные, полученные от Group-IB, демонстрируют мощное сочетание возможностей NFC-ретрансляции и RAT-технологий, предоставляющее злоумышленнику больше способов извлечения данных, сохранения постоянного доступа и совершения финансовых махинаций.


В период с ноября 2025 года по июль 2026 года на VirusTotal было загружено до 23 образцов WindRelay, имитирующих финансовые учреждения Чехии, Словакии и Словении.


Сингапурская компания, специализирующаяся на кибербезопасности, заявила, что это представляет собой новую эволюцию вредоносного ПО для Android и стратегию двойной монетизации в рамках одной схемы, где «удаленный доступ с помощью RAT может использоваться для получения цифрового кредита, в то время как вредоносное ПО NFC позволяет совершать физические покупки с физическим присутствием карты».


«Этот случай показывает, что современное мошенничество редко опирается на один метод», — добавили исследователи. «Здесь мошенник объединил три возможности в одном сеансе: звонок с применением методов социальной инженерии в реальном времени, персонализированную программу удаленного управления устройством (RAT) и вредоносное ПО NFC для получения наличных денег».


«Мошенник также использовал эти возможности, чтобы атаковать два отдельных канала получения выплат — цифровой кредит и покупки с использованием физических карт — прежде чем банк или жертва успели отреагировать».

Источник