SpyNote et WindRelay : l’attaque Android qui combine prêts frauduleux et relais NFC

L’escroquerie commence par un faux appel de la banque

Une attaque Android récemment analysée par Group-IB combine le RAT SpyNote et WindRelay, un malware conçu pour relayer les communications NFC. L’opération a été décrite le 12 août 2026.

L’escroc a contacté la victime en se faisant passer pour un employé de banque et en signalant un problème avec sa carte. Au cours de l’appel, qui a duré 13 minutes, il a convaincu l’utilisateur d’installer par sideloading un APK présenté comme une application légitime. Le nom de l’application avait été personnalisé avec celui de la victime.

L’application installe SpyNote et demande l’accès à l’Accessibility Service, une autorisation qui permet d’observer et de contrôler de nombreuses fonctions de l’appareil. Une fois le contrôle à distance obtenu, l’attaquant a installé WindRelay sans autre intervention de l’utilisateur.

SpyNote contrôle le smartphone et l’application bancaire

SpyNote est un RAT Android connu depuis au moins 2021. Parmi les variantes citées figurent SpyMax et CypherRAT. Les détections ont augmenté entre la fin de 2022 et le début de 2023, après la publication du code source.

Le malware peut voler :

• des données et identifiants bancaires ;
• des comptes Facebook et Google ;
• des codes Google Authenticator ;
• des SMS et les saisies au clavier ;
• la position GPS.

Il peut également activer le microphone et la caméra. Dans le cas analysé, l’accès à distance a permis au cybercriminel d’utiliser l’application bancaire de la victime pour demander un prêt en son nom.

Les versions exactes des composants utilisés lors de l’attaque n’ont pas été communiquées.

WindRelay transforme le téléphone en relais sans contact

La deuxième phase s’appuie sur WindRelay. Le malware permet au smartphone compromis de communiquer avec la carte de paiement approchée par la victime, en transférant en temps réel vers l’appareil de l’attaquant les données échangées via NFC.

Les éléments d’authentification propres à la transaction sont également relayés. L’agresseur peut ainsi utiliser les informations reçues sur un véritable terminal de paiement, tandis que la victime est guidée jusqu’au téléphone et communique également son code PIN.

Le relais peut être difficile à détecter : la carte reste à proximité du smartphone de la victime, tandis que l’appareil de l’attaquant agit comme contrepartie distante. Les transactions observées ont été autorisées avec le code PIN communiqué par la victime.

Cette technique pourrait être réutilisée pour d’autres fraudes ou, dans certaines conditions, pour effectuer des retraits sur des distributeurs automatiques. La faisabilité dépend des données obtenues et de la procédure employée.

Échantillons et zone de ciblage

Group-IB a identifié près de deux douzaines d’échantillons de WindRelay téléversés sur VirusTotal entre novembre 2025 et juillet 2026. Les échantillons communiquaient avec quatre adresses IP de commande et contrôle.

Le ciblage semble se concentrer sur la Tchéquie, la Slovaquie et la Slovénie, d’après les organisations usurpées et les langues utilisées lors des appels. WindRelay s’inscrit dans une série de malwares NFC qui comprend également NFCShare, NGate, SuperCard X et RelayNFC.

L’association avec SpyNote élargit le modèle criminel : un même accès permet de contrôler l’appareil, d’utiliser les services bancaires et de monétiser directement les données NFC. L’attaque ne nécessite pas forcément de partage d’écran ni de VNC.

Comment réduire les risques

• Installer de préférence les applications depuis Google Play, et non à partir d’APK reçus lors d’appels ou par message.
• Ne pas accorder l’accès à l’Accessibility Service à des applications dont l’origine ou la fonction n’est pas certaine.
• Redoubler de vigilance face aux demandes d’accès NFC et aux autres autorisations à haut risque.
• Mettre fin aux appels bancaires qui imposent un sentiment d’urgence ou des instructions inhabituelles.
• Rappeler la banque en utilisant le numéro publié sur son site officiel.
• Ne jamais communiquer le code PIN de sa carte par téléphone.
• Ne pas approcher sa carte du téléphone et ne pas autoriser d’opérations en suivant des instructions non vérifiées.