Group‑IB investiga un ataque combinado en Android donde el RAT SpyNote brinda control remoto del dispositivo y el malware WindRelay relaya datos NFC de tarjetas, lo que permitió a atacantes solicitar préstamos y efectuar compras con la tarjeta de la víctima.
Por qué importa: Según la investigación de Group‑IB, la mezcla de acceso remoto y relé NFC convierte un teléfono comprometido en un lector de tarjetas remoto capaz de liquidar transacciones financieras en tiempo real.
Lo esencial
- Un atacante convenció a la víctima por teléfono y logró que sideloadeara SpyNote y activara permisos de Accesibilidad.
- Con control remoto instalado, los operadores desplegaron WindRelay para capturar la comunicación NFC de la tarjeta y transmitirla a su equipo.
- Group‑IB documenta que el fraude incluyó un préstamo en la aplicación bancaria y compras aprobadas usando el PIN proporcionado por la víctima.
Ataque combina acceso remoto y relé NFC
En el caso investigado, el atacante se hizo pasar por empleado bancario y persuadió a la víctima durante la llamada para instalar una app maliciosa basada en SpyNote. El malware pidió permisos de Accesibilidad, lo que entregó control remoto y permitió la instalación subsiguiente de WindRelay sin más interacción de la víctima.
Con ese control, el operador abrió la aplicación bancaria de la víctima y gestionó un préstamo a su nombre; simultáneamente, WindRelay capturó la pista de comunicación NFC de la tarjeta cuando la víctima la acercó al teléfono.
Cómo WindRelay captura y transmite datos de tarjetas
WindRelay aprovecha el interfaz NFC del teléfono para actuar como lector contactless. Cuando la víctima toca su tarjeta al dispositivo comprometido y teclea el PIN, el malware retransmite los datos de autenticación transaccional al equipo del atacante.
Group‑IB detalla que la retransmisión incluyó datos de autenticación específicos de la transacción, suficientes para que el atacante completara pagos en un terminal legítimo a distancia.
