Un sofisticato attacco Android combina il malware NFC WindRelay e il RAT SpyNote per sottrarre dati delle carte di pagamento, ottenere prestiti a nome delle vittime e trasmettere in tempo reale le informazioni NFC per acquisti fraudolenti.
Un nuovo schema di frode informatica sta colpendo utenti Android in Europa centrale, sfruttando la combinazione tra il malware NFC WindRelay e il trojan di amministrazione remota SpyNote. Secondo l'analisi di Group-IB, i criminali informatici contattano le vittime fingendosi operatori bancari e segnalando presunti problemi con la carta di pagamento.
Come funziona l'attacco: social engineering e controllo remoto
Durante la telefonata, la vittima viene indotta a installare manualmente un'app malevola che in realtà è SpyNote, camuffata da applicazione legittima e personalizzata con il nome della persona per aumentare la credibilità. Una volta ottenuti i permessi di Accessibilità, gli attaccanti prendono il controllo remoto del dispositivo Android e installano WindRelay senza ulteriori interazioni da parte dell'utente.
Prestiti e acquisti fraudolenti in pochi minuti
Con il controllo completo del telefono, i cybercriminali accedono all'app bancaria della vittima e richiedono un prestito a suo nome. Successivamente, convincono la persona a poggiare la propria carta di pagamento sullo smartphone e digitare il PIN. WindRelay trasforma il telefono in un lettore contactless fraudolento, intercettando e trasmettendo in tempo reale i dati NFC e le informazioni di autenticazione della carta agli aggressori, che possono così effettuare acquisti su terminali reali. L'intera operazione, secondo Group-IB, si conclude in appena 13 minuti, con transazioni autorizzate grazie al PIN fornito dalla vittima.
Un toolkit per il furto e il cash-out diretto
La combinazione di SpyNote e WindRelay rappresenta un toolkit completo: da un lato consente l'accesso ai conti bancari e alle app finanziarie, dall'altro offre un canale diretto per il cash-out tramite la trasmissione dei dati NFC. A differenza di altri malware Android che sfruttano la condivisione schermo o VNC, questa tecnica si basa esclusivamente sull'ingegneria sociale telefonica, senza necessità di interazione digitale in tempo reale.
Diffusione e rischi crescenti dei malware NFC
Il fenomeno dei malware NFC su Android è in crescita, come dimostrano anche famiglie come NFCShare, NGate, SuperCard X e RelayNFC. In questi attacchi, la vittima installa un'app malevola che ottiene accesso all'NFC, poi viene convinta a poggiare la carta sul telefono compromesso: i dati vengono così catturati e inviati agli aggressori, che possono usarli per transazioni fraudolente o prelievi da ATM, a seconda delle informazioni raccolte.
SpyNote: evoluzione e capacità del malware
SpyNote e le sue varianti, come SpyMax e CypherRAT, sono attivi dal 2021 e hanno visto un aumento delle infezioni tra fine 2022 e inizio 2023, anche a causa della diffusione del codice sorgente. Oltre ai dati bancari, SpyNote può sottrarre credenziali di Facebook, Google, codici Google Authenticator, tracciare la posizione GPS, leggere SMS, attivare microfono e fotocamera e registrare i tasti digitati.
Target geografico e raccomandazioni per la sicurezza
Group-IB ha individuato quasi due dozzine di campioni WindRelay caricati su VirusTotal tra novembre 2025 e luglio 2026, collegati a quattro indirizzi IP di comando e controllo. Gli attacchi sembrano concentrarsi su Repubblica Ceca, Slovacchia e Slovenia, in base alle banche imitate e alle lingue usate. Gli utenti Android dovrebbero evitare di installare APK da fonti esterne a Google Play e prestare massima attenzione alle app che richiedono accesso NFC o permessi sensibili. In caso di chiamate sospette dalla banca, è consigliabile chiudere la conversazione e richiamare il numero ufficiale per verificare l'identità dell'operatore.
Attacchi supply-chain e minacce emergenti
La crescente sofisticazione degli attacchi, che combinano social engineering e tecniche avanzate di malware, richiama l'attenzione anche su altre minacce come quelle supply-chain. Un esempio recente riguarda la compromissione dei plugin BdThemes per WordPress, dove un attore malevolo ha modificato un feed remoto per creare amministratori falsi, come descritto in questo approfondimento sulla compromissione supply-chain nei plugin WordPress.
