SpyNote e WindRelay: l’attacco Android che combina prestiti fraudolenti e relay NFC

La truffa parte da una falsa chiamata della banca

Un attacco Android analizzato di recente da Group-IB combina il RAT SpyNote con WindRelay, un malware progettato per inoltrare comunicazioni NFC. L’operazione è stata descritta il 12 agosto 2026.

Il truffatore ha contattato la vittima fingendosi un dipendente bancario e segnalando un problema con la carta. Durante la telefonata, durata 13 minuti, ha convinto l’utente a installare tramite sideload un APK presentato come applicazione legittima. Il nome dell’app era stato personalizzato con quello della vittima.

L’applicazione installa SpyNote e chiede l’accesso ad Accessibility Service, un’autorizzazione che consente di osservare e controllare numerose funzioni del dispositivo. Ottenuto il controllo remoto, l’attaccante ha installato WindRelay senza ulteriori azioni dell’utente.

SpyNote controlla lo smartphone e l’app bancaria

SpyNote è un RAT Android noto almeno dal 2021. Tra le varianti citate figurano SpyMax e CypherRAT; le rilevazioni sono aumentate tra la fine del 2022 e l’inizio del 2023, dopo la pubblicazione del codice sorgente.

Il malware può sottrarre:

• dati e credenziali bancarie;
• account Facebook e Google;
• codici Google Authenticator;
• SMS e digitazioni da tastiera;
• posizione GPS.

Può inoltre attivare microfono e fotocamera. Nel caso analizzato, l’accesso remoto ha permesso al criminale di usare l’app bancaria della vittima per richiedere un prestito a suo nome.

Le versioni esatte dei componenti utilizzati nell’attacco non sono state rese note.

WindRelay trasforma il telefono in un relay contactless

La seconda fase sfrutta WindRelay. Il malware fa comunicare lo smartphone compromesso con la carta di pagamento avvicinata dalla vittima, trasferendo in tempo reale al dispositivo dell’attaccante i dati scambiati via NFC.

Nel flusso rientrano anche gli elementi di autenticazione specifici della transazione. L’aggressore può quindi utilizzare le informazioni ricevute presso un terminale di pagamento reale, mentre la vittima viene guidata al telefono e comunica anche il PIN.

Il relay può risultare poco visibile: la carta resta vicino allo smartphone della vittima, ma il dispositivo dell’attaccante opera come controparte remota. Le transazioni osservate sono state autorizzate con il PIN fornito dalla vittima.

La tecnica potrebbe essere riutilizzata per altre frodi o, in determinate condizioni, per prelievi da sportelli automatici. L’effettiva possibilità dipende dai dati ottenuti e dalla procedura adottata.

Campioni e area di targeting

Group-IB ha individuato quasi due dozzine di campioni WindRelay caricati su VirusTotal tra novembre 2025 e luglio 2026. I campioni comunicavano con quattro indirizzi IP di comando e controllo.

Il targeting sembra concentrato in Cechia, Slovacchia e Slovenia, sulla base delle organizzazioni impersonate e delle lingue impiegate nelle chiamate. WindRelay si inserisce in una sequenza di malware NFC che comprende anche NFCShare, NGate, SuperCard X e RelayNFC.

La combinazione con SpyNote amplia il modello criminale: lo stesso accesso consente di controllare il dispositivo, operare sui servizi bancari e monetizzare direttamente i dati NFC. L’attacco non richiede necessariamente condivisione dello schermo o VNC.

Come ridurre il rischio

• Installare applicazioni preferibilmente da Google Play e non da APK ricevuti durante telefonate o messaggi.
• Non concedere Accessibility Service ad app la cui provenienza o funzione non sia certa.
• Prestare particolare attenzione alle richieste di accesso NFC e ad altri permessi ad alto rischio.
• Interrompere le chiamate bancarie che impongono urgenza o istruzioni insolite.
• Richiamare la banca usando il numero pubblicato sul sito ufficiale.
• Non comunicare mai telefonicamente il PIN della carta.
• Non avvicinare la carta al telefono e non autorizzare operazioni seguendo indicazioni non verificate.