Group-IB detalha como o combo WindRelay + SpyNote une saque digital e físico em uma única ligação fraudulenta
Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
A Group-IB publicou uma análise técnica própria sobre o esquema WindRelay, complementando reportagens anteriores com detalhes de como o kit de fraude foi montado e quem tem sido alvo. Segundo a empresa, o esquema não é apenas mais um malware Android, mas um kit de fraude ponta a ponta, desenhado para monetizar o acesso ao celular da vítima por dois canais simultâneos: digital (empréstimos solicitados via app bancário sob controle remoto) e físico (retransmissão de dados NFC do cartão para saque ou compra em terminais reais).
A engenharia social é o elemento que amarra as duas pontas: o golpista mantém uma ligação ativa com a vítima, se passando por atendente bancário, durante toda a operação — o que funciona como canal de comando em tempo real e também de pressão psicológica. Ainda ao telefone, a vítima é convencida a instalar um APK compilado sob medida (usando um builder do SpyNote que permite customizar o rótulo do app com o nome do alvo), o que reduz drasticamente a desconfiança em comparação a um app genérico. O SpyNote abusa do serviço de Acessibilidade do Android para dar controle remoto sem exigir compartilhamento de tela — driblando controles de segurança de bancos e operadoras que hoje bloqueiam chamadas com tela compartilhada ativa. A partir daí, o WindRelay é instalado silenciosamente e, no momento em que a vítima aproxima o cartão físico do aparelho, captura o sinal NFC e o retransmite pela internet em tempo real para o dispositivo do criminoso, que o utiliza como se fosse o cartão físico em um terminal de pagamento legítimo em outro local.
A Group-IB identificou concentração de vítimas na República Tcheca, Eslováquia e Eslovênia, com reconhecimento prévio de dados pessoais (nome e telefone) usados para personalizar o ataque — um indício de que os alvos são selecionados a partir de vazamentos de dados anteriores, e não escolhidos aleatoriamente.
As recomendações da empresa são voltadas principalmente a bancos e operadoras: monitorar instalações de aplicativos fora da loja oficial ocorrendo durante chamadas telefônicas ativas; sinalizar como suspeitos apps recém-instalados que combinam permissão de NFC com acesso à internet; e, tecnicamente, buscar indícios de abuso do serviço de Acessibilidade como proxy para RATs sem tela compartilhada. Do lado da resposta a incidentes, a empresa sugere correlacionar automaticamente a abertura de um crédito com uma transação física presencial na sequência imediata — um padrão que, isolado, pode passar despercebido, mas que juntos formam a assinatura clara desse tipo de fraude.