Uma família de malware para Android baseada em relé de NFC (Comunicação por Campo de Proximidade), até então desconhecida e batizada de WindRelay, está sendo implantada em conjunto com um trojan de acesso remoto (RAT, na sigla em inglês) conhecido como SpyNote, como parte de um esquema de fraude de pagamentos por aproximação.
O malware, desenvolvido especificamente para esse fim, segundo a Group-IB, foi projetado para capturar dados ao vivo de cartões via NFC e transmiti-los aos fraudadores em tempo real. Ele foi detectado pela primeira vez em campo no final de agosto de 2025.
"O acesso ao Serviço de Acessibilidade do SpyNote permite que o fraudador instale e ative silenciosamente o aplicativo NFC, sem disparar nenhum compartilhamento de tela", afirmaram os pesquisadores Alexander Grabko, Konstantinos Angelopoulos, Pavlos Gaitanis e Bruno Bijelić.
Esses ataques geralmente funcionam atraindo potenciais vítimas por meio de golpes de phishing, smishing (phishing por SMS) ou vishing (phishing por voz), para que instalem manualmente um aplicativo malicioso. Uma vez instalado, o agente da ameaça se aproveita do acesso remoto do SpyNote para instalar o malware de relé NFC sem qualquer interação adicional do usuário.
Para dar credibilidade ao esquema, o arquivo APK (pacote de instalação do Android) distribuído durante a ligação telefônica é personalizado com o nome da vítima, indicando que o processo de entrega é adaptado para cada alvo. Isso aponta para uma fase de reconhecimento anterior à ligação, na qual o agente da ameaça coleta o nome e o número de telefone da vítima para tornar o pretexto de engenharia social mais convincente.
Em seguida, a vítima é manipulada por engenharia social a encostar seu cartão de pagamento físico em seu próprio celular infectado, sob o pretexto de verificação de identidade, troca de senha (PIN) ou validação do cartão bancário após um suposto comprometimento da conta.
Ao fazer isso, o dispositivo da vítima se transforma em um proxy de pagamento sem que ela perceba, funcionando como uma ponte ao vivo para fraudes de pagamento por aproximação. Isso permite que o malware intercepte e leia os sinais de rádio do cartão via NFC e os transmita em tempo real para outro dispositivo do fraudador, em local diferente.
O WindRelay não foge à regra ao incorporar dois componentes que trabalham em sincronia:
- Um componente leitor instalado no dispositivo da vítima, que se comunica com o cartão de pagamento físico via NFC
- Um componente emulador instalado no dispositivo do agente da ameaça, que emula o cartão em um terminal de pagamento
Esses dois componentes interagem por meio de uma infraestrutura compartilhada de comando e controle (C2, na sigla em inglês) via WebSocket, retransmitindo comandos e respostas EMV APDU (protocolo usado na comunicação com cartões inteligentes) entre o terminal e o cartão da vítima em tempo real.
A descoberta acontece em um momento em que o malware de relé NFC voltado para Android se proliferou, expandindo-se da República Tcheca para o Brasil, a Polônia e a Eslováquia ao longo do último ano.
A principal vantagem dessa técnica, também chamada Ghost Tap ("toque fantasma"), é permitir que os criminosos cibernéticos permaneçam anônimos e realizem saques em maior escala, já que capturar os dados NFC de clientes bancários torna possível imitar o cartão bancário em seu próprio dispositivo e usá-lo para saques em dinheiro ou para fazer pagamentos.
"Teoricamente, eles poderiam ter fazendas inteiras de celulares Android carregados com dados de cartões comprometidos, realizando transações fraudulentas automatizadas", observou a ESET em um relatório publicado no ano passado.
As descobertas mais recentes da Group-IB demonstram uma combinação potente entre recursos de relé NFC e de RAT, concedendo ao atacante mais formas de extrair dados, manter acesso persistente e conduzir fraudes financeiras.
Até 23 amostras do WindRelay foram enviadas ao VirusTotal entre novembro de 2025 e julho de 2026, se passando por instituições financeiras da Tchéquia, da Eslováquia e da Eslovênia.
A empresa de cibersegurança sediada em Singapura afirmou que isso representa uma nova evolução do malware para Android e uma estratégia dupla de monetização dentro de um mesmo esquema, no qual "o acesso remoto possibilitado pelo RAT pode ser usado para obter um empréstimo digital, enquanto o malware NFC permite compras físicas com cartão presente".
"Este caso mostra que a fraude moderna raramente depende de uma única técnica", acrescentaram os pesquisadores. "Aqui, o fraudador combinou três capacidades em uma única sessão: uma ligação ao vivo com engenharia social, um RAT personalizado para controle remoto do dispositivo e um malware de relé NFC para saque físico."
"O fraudador também usou essas capacidades para atingir dois canais separados de pagamento — um empréstimo digital e compras com cartão presente — antes que o banco ou a vítima pudessem reagir."
