SpyNote und WindRelay: Android-Angriff kombiniert betrügerische Kredite mit NFC-Relay

Der Betrug beginnt mit einem gefälschten Bankanruf

Bei einem kürzlich von Group-IB analysierten Android-Angriff werden der RAT SpyNote und WindRelay kombiniert – eine Malware, die NFC-Kommunikation weiterleitet. Die Kampagne wurde am 12. August 2026 beschrieben.

Der Täter kontaktierte das Opfer und gab sich als Bankmitarbeiter aus. Er behauptete, es gebe ein Problem mit der Zahlungskarte. Während des 13-minütigen Telefonats überzeugte er die betroffene Person, per Sideloading eine als legitime Anwendung präsentierte APK-Datei zu installieren. Der Name der App war mit dem Namen des Opfers personalisiert worden.

Die Anwendung installiert SpyNote und fordert Zugriff auf den Accessibility Service (Bedienungshilfen) an – eine Berechtigung, mit der sich zahlreiche Gerätefunktionen überwachen und steuern lassen. Nachdem der Angreifer die Fernsteuerung erlangt hatte, installierte er WindRelay ohne weitere Aktionen des Opfers.

SpyNote kontrolliert das Smartphone und die Banking-App

SpyNote ist ein seit mindestens 2021 bekannter Android-RAT. Zu den genannten Varianten zählen SpyMax und CypherRAT. Nach der Veröffentlichung des Quellcodes nahm die Zahl der Erkennungen zwischen Ende 2022 und Anfang 2023 zu.

Die Malware kann folgende Daten stehlen:

• Bankdaten und Zugangsdaten;
• Facebook- und Google-Konten;
• Google-Authenticator-Codes;
• SMS und Tastatureingaben;
• GPS-Standortdaten.

Außerdem kann sie Mikrofon und Kamera aktivieren. Im untersuchten Fall ermöglichte der Fernzugriff dem Cyberkriminellen, die Banking-App des Opfers zu verwenden und in dessen Namen einen Kredit zu beantragen.

Die genauen Versionen der bei dem Angriff eingesetzten Komponenten wurden nicht bekannt gegeben.

WindRelay macht das Smartphone zum kontaktlosen Relay

In der zweiten Phase kommt WindRelay zum Einsatz. Die Malware verbindet das kompromittierte Smartphone mit der Zahlungskarte, die das Opfer an das Gerät hält, und überträgt die per NFC ausgetauschten Daten in Echtzeit an das Gerät des Angreifers.

Dazu gehören auch die transaktionsspezifischen Authentifizierungsdaten. Der Angreifer kann die empfangenen Informationen anschließend an einem echten Zahlungsterminal verwenden, während das Opfer dazu gebracht wird, die Karte an das eigene Smartphone zu halten und zusätzlich die PIN einzugeben.

Das Relay ist für das Opfer möglicherweise kaum erkennbar: Die Karte bleibt in der Nähe seines Smartphones, während das Gerät des Angreifers als entfernte Gegenstelle fungiert. Die beobachteten Transaktionen wurden mit der vom Opfer übermittelten PIN autorisiert.

Die Technik könnte für weitere Betrugsdelikte oder unter bestimmten Voraussetzungen auch für Abhebungen an Geldautomaten eingesetzt werden. Ob dies tatsächlich möglich ist, hängt von den erlangten Daten und dem gewählten Verfahren ab.

Samples und Zielregionen

Group-IB identifizierte nahezu zwei Dutzend WindRelay-Samples, die zwischen November 2025 und Juli 2026 bei VirusTotal hochgeladen wurden. Die Samples kommunizierten mit vier Command-and-Control-IP-Adressen.

Das Targeting scheint sich auf Tschechien, die Slowakei und Slowenien zu konzentrieren. Darauf deuten die nachgeahmten Organisationen und die bei den Anrufen verwendeten Sprachen hin. WindRelay reiht sich in eine Folge von NFC-Malware ein, zu der auch NFCShare, NGate, SuperCard X und RelayNFC gehören.

Die Kombination mit SpyNote erweitert das kriminelle Geschäftsmodell: Ein einziger Zugriff ermöglicht die Kontrolle des Geräts, die Nutzung von Banking-Diensten und die direkte Monetarisierung der NFC-Daten. Der Angriff erfordert nicht zwingend eine Bildschirmfreigabe oder VNC.

So lässt sich das Risiko reduzieren

• Anwendungen möglichst über Google Play installieren und keine APKs verwenden, die während eines Telefonats oder per Nachricht zugeschickt wurden.
• Den Accessibility Service keinen Apps gewähren, deren Herkunft oder Zweck nicht eindeutig vertrauenswürdig ist.
• Anfragen nach NFC-Zugriffen und anderen weitreichenden Berechtigungen besonders kritisch prüfen.
• Bankanrufe beenden, bei denen Druck ausgeübt oder zu ungewöhnlichen Schritten aufgefordert wird.
• Die Bank über die auf ihrer offiziellen Website veröffentlichte Telefonnummer zurückrufen.
• Die Karten-PIN niemals telefonisch mitteilen.
• Die Karte nicht an das Smartphone halten und keine Transaktionen aufgrund ungeprüfter Anweisungen autorisieren.