Kombinasi malware Android ini mengambil pinjaman dan menggunakan kartu kredit korban.
Malware relay NFC Android baru bernama WindRelay digunakan bersamaan dengan alat administrasi jarak jauh (RAT) SpyNote untuk mencuri data kartu dan mengirimkannya ke penyerang secara real-time.
Dalam sebuah insiden yang diselidiki oleh perusahaan keamanan siber Group-IB, seorang penipu menyamar sebagai karyawan bank dan menelepon korban dengan dalih adanya masalah dengan kartu pembayaran mereka.
Selama panggilan tersebut, pelaku ancaman menginstruksikan korban untuk menginstal SpyNote RAT yang menyamar sebagai aplikasi sah dan memberikan izin Layanan Aksesibilitas, sehingga memberikan akses jarak jauh kepada penyerang ke perangkat Android.
Untuk menambah kredibilitas, penyerang mempersonalisasi label aplikasi berbahaya tersebut dengan nama korban.
Sumber: Group-IB
Setelah mendapatkan akses jarak jauh ke perangkat melalui SpyNote, penyerang menginstal WindRelay tanpa interaksi lebih lanjut dengan korban dan menggunakan aplikasi perbankan untuk mengambil pinjaman atas nama korban.
Selain itu, korban diinstruksikan untuk menempelkan kartu pembayaran mereka ke ponsel dan memasukkan PIN mereka. WindRelay mengubah ponsel tersebut menjadi pembaca nirsentuh palsu dan mengirimkan pertukaran NFC (komunikasi jarak dekat) secara langsung, termasuk data otentikasi khusus transaksi kartu, ke perangkat penyerang.
Hal ini memungkinkan penyerang untuk menggunakan data kartu untuk pembelian di terminal pembayaran yang sah.
Group-IB menyatakan bahwa seluruh aktivitas tersebut terjadi dalam panggilan telepon selama 13 menit, dan transaksi disetujui menggunakan PIN yang diberikan oleh korban.
Sumber: Group-IB
Para peneliti menyoroti bahwa kombinasi SpyNote dan WindRelay mungkin mengindikasikan sebuah perangkat yang menyediakan akses ke perangkat korban untuk transaksi perbankan dan saluran penarikan tunai langsung.
Selain itu, berbeda dengan sebagian besar malware Android modern yang memiliki fitur berbagi layar langsung dan VNC, kombinasi malware ini memungkinkan penyerang untuk melakukan penipuan semata-mata melalui rekayasa sosial melalui telepon.
Malware NFC Android merupakan masalah yang semakin meningkat , seperti yang ditunjukkan oleh keluarga malware seperti NFCShare , NGate , SuperCard X , dan RelayNFC.
Dalam serangan tipikal, korban menginstal aplikasi berbahaya dan memberikannya akses ke NFC. Penyerang kemudian menggunakan rekayasa sosial untuk menipu korban agar menempelkan kartu pembayaran mereka ke ponsel yang telah disusupi.
Ponsel tersebut menggunakan antarmuka NFC-nya untuk berkomunikasi dengan kartu pembayaran tanpa kontak dan menangkap data yang tersedia, yang kemudian dikirimkan melalui internet ke perangkat yang dikendalikan oleh penyerang.
Tergantung pada data yang diperoleh dan teknik yang digunakan, penyerang mungkin dapat menggunakannya untuk transaksi curang atau pencurian keuangan lainnya, termasuk penarikan tunai ATM.
RAT SpyNote dan variannya seperti SpyMax dan CypherRAT telah beredar setidaknya sejak tahun 2021 dan mencatat peningkatan deteksi pada akhir tahun 2022 dan awal tahun 2023, menyusul kebocoran kode sumber malware tersebut .
Malware ini dapat mencuri data perbankan, kredensial akun Facebook dan Google, kode Google Authenticator, pelacakan GPS, dan pesan teks SMS. Malware ini juga dapat mengaktifkan mikrofon dan kamera perangkat, serta mencegat penekanan tombol secara umum.
Group-IB telah mengidentifikasi hampir dua lusin sampel WindRelay yang dikirimkan ke VirusTotal antara November 2025 dan Juli 2026 yang berkomunikasi dengan empat alamat IP komando dan kontrol.
Menurut para peneliti, penargetan tampaknya difokuskan pada Republik Ceko, Slovakia, dan Slovenia, berdasarkan organisasi yang ditiru dan bahasa yang digunakan.
Kecuali mereka mengenal dan mempercayai penerbitnya, pengguna Android disarankan untuk menghindari paket APK di luar Google Play, dan untuk sangat berhati-hati dengan aplikasi yang meminta akses NFC atau izin berbahaya lainnya.
Saat menerima panggilan dari bank Anda dan diminta untuk mengambil tindakan mendesak, sebaiknya akhiri panggilan, hubungi nomor yang tertera di situs web resmi organisasi tersebut, dan minta untuk terhubung dengan agen dukungan yang sama.
