WindRelay e SpyNote trasformano Android in un relay NFC per frodi bancarie

🛡️ Executive Summary

• SpyNote concede il controllo remoto dello smartphone Android e permette all’attaccante di installare WindRelay senza ulteriori interventi della vittima.
• WindRelay trasforma il telefono in un lettore NFC malevolo, inoltrando in tempo reale i dati della carta verso terminali controllati dai criminali.
• La campagna combina vishing, APK personalizzati e abuso dei servizi di accessibilità; evitare sideloading e richieste bancarie telefoniche resta la principale mitigazione.

Una nuova combinazione di malware Android mostra quanto le frodi bancarie mobili stiano superando il tradizionale furto di password. SpyNote viene utilizzato per ottenere il controllo remoto dello smartphone della vittima, mentre un secondo malware denominato WindRelay trasforma il dispositivo in un lettore NFC capace di inoltrare in tempo reale le comunicazioni di una carta contactless verso un terminale controllato dai criminali. In un caso analizzato da Group-IB, durante una telefonata durata appena 13 minuti gli attaccanti sono riusciti anche a richiedere un prestito attraverso l’app bancaria della vittima. La stessa sessione ha quindi prodotto due differenti canali di monetizzazione: credito digitale e utilizzo remoto della carta fisica.

Una telefonata porta SpyNote direttamente sul telefono

La catena parte dal vishing. Il criminale telefona alla vittima fingendosi un dipendente della banca e sostiene che esista un problema con la carta di pagamento. Durante la conversazione convince l’utente a installare manualmente un APK presentato come applicazione legittima. Il file contiene SpyNote, RAT Android già utilizzato in numerose campagne e capace di abusare dei Servizi di accessibilità per ottenere un controllo esteso sul dispositivo. Un elemento particolarmente efficace della nuova operazione è la personalizzazione: l’applicazione malevola può essere compilata con il nome della stessa vittima come etichetta, riducendo l’impressione di trovarsi davanti a un software generico scaricato da una fonte sospetta.

Il builder di SpyNote consente infatti di modificare nome, package e altri elementi dell’APK prima della distribuzione, rendendo economicamente sostenibile la costruzione di esche differenti per ogni bersaglio. Group-IB considera questa personalizzazione un indizio di ricognizione preliminare, perché il criminale deve conoscere almeno nome e numero telefonico prima di iniziare la chiamata. Matrice Digitale aveva già analizzato SpyNote distribuito attraverso falsi siti che imitavano Google Play, dove il RAT sfruttava APK multistadio e Accessibility per leggere SMS, registrare chiamate, controllare fotocamera e microfono ed eseguire comandi sul telefono.

Il RAT installa WindRelay senza una seconda autorizzazione

Una volta ottenuto il controllo tramite SpyNote, il criminale non ha più bisogno di convincere la vittima a installare manualmente ogni componente successivo. Nel caso ricostruito da Group-IB, il RAT viene utilizzato per distribuire WindRelay, nuovo malware Android progettato specificamente per il relay NFC. Il secondo APK viene quindi installato mentre la telefonata è ancora in corso e quando il controllo remoto del dispositivo è già attivo. Questo passaggio rappresenta la caratteristica più importante della campagna: WindRelay non viene utilizzato come malware autonomo, ma come modulo finanziario installato attraverso un RAT general purpose. Lo stesso modello è visibile nell’ecosistema criminale analizzato recentemente da Matrice Digitale con Flying Eagle, piattaforma Android per frodi bancarie basata su capacità riconducibili a SpyNote, dove Accessibility permette agli operatori di simulare gesti, osservare lo schermo, installare componenti e interagire direttamente con applicazioni finanziarie. Nel caso WindRelay, questa separazione dei ruoli consente di utilizzare un malware maturo per l’accesso remoto e un impianto specializzato esclusivamente nella comunicazione contactless.

WindRelay trasforma Android in un falso terminale contactless

WindRelay richiede il permesso NFC per comunicare con la carta fisica, l’accesso Internet per inoltrare i dati in tempo reale e ulteriori privilegi utilizzati per raccogliere informazioni sul dispositivo e rendere più difficile l’interferenza di altre applicazioni. Il criminale, ancora al telefono con la vittima, le chiede di avvicinare la carta bancaria allo smartphone e inserire il PIN. A quel punto il telefono non si limita a leggere un numero statico: diventa un falso terminale POS che instaura una vera comunicazione NFC con il chip della carta. I dati generati dalla transazione, compreso il materiale crittografico valido soltanto per quella specifica operazione, vengono inoltrati immediatamente tramite Internet verso un secondo dispositivo nelle mani dell’attaccante. Quest’ultimo viene avvicinato a un normale terminale contactless o a un ATM compatibile, creando un ponte tra la carta fisicamente presente accanto alla vittima e il terminale situato altrove. Il pagamento vede così una sessione reale con la carta, ma il percorso radio viene esteso attraverso la rete. Questo meccanismo distingue il relay NFC dalla clonazione tradizionale: non è necessario riutilizzare successivamente un codice statico perché la transazione viene inoltrata mentre avviene.

Prestiti e carta vengono monetizzati nella stessa telefonata

Il controllo ottenuto attraverso SpyNote offre contemporaneamente un secondo percorso di frode. Nel caso investigato da Group-IB, l’operatore ha aperto l’app bancaria della vittima e ha richiesto un prestito a suo nome mentre la chiamata era ancora attiva. I ricercatori ritengono che questa operazione non fosse necessariamente il fine originario della campagna, ma un’opportunità aggiuntiva individuata dopo avere ottenuto il controllo del telefono. Alla fine della telefonata il criminale dispone quindi sia delle somme ottenute attraverso il finanziamento sia della possibilità di effettuare transazioni card-present utilizzando WindRelay.

È un’evoluzione rispetto ai banking trojan che puntano a un singolo meccanismo di cash-out. Matrice Digitale aveva già osservato questa progressiva trasformazione con SCMBanker, toolkit capace di svuotare conti mentre l’operatore osserva e controlla il dispositivo e con RedWing, malware Android utilizzato per intercettare autenticazioni e manipolare operazioni bancarie. WindRelay aggiunge però il mondo fisico delle carte contactless alla stessa sessione fraudolenta già utilizzata per controllare l’home banking.

Ventitré campioni mostrano una campagna costruita per singole vittime

L’analisi tecnica di Group-IB su WindRelay e SpyNote non si limita al singolo incidente. Attraverso metadata, certificati e caratteristiche degli APK, i ricercatori hanno identificato 23 campioni caricati su VirusTotal tra novembre 2025 e luglio 2026, collegati a campagne contro utenti in Repubblica Ceca, Slovacchia e Slovenia. Le applicazioni imitano istituzioni locali, contengono testi nelle rispettive lingue e in alcuni casi mostrano elementi dell’interfaccia personalizzati con il nome della vittima. Il numero di campioni non equivale automaticamente a 23 compromissioni confermate, ma dimostra che WindRelay non è stato sviluppato esclusivamente per un singolo attacco. La possibilità di generare APK diversi per ogni bersaglio suggerisce una filiera nella quale la raccolta preliminare di informazioni personali precede la telefonata e permette di creare esche più credibili. Una dinamica simile ricorre nelle campagne Android più avanzate già osservate da Matrice Digitale con RedHook, RAT capace di ottenere un controllo esteso del telefono senza richiedere privilegi root, dove ancora una volta il vero punto di rottura è rappresentato dall’abuso di funzioni Android legittime dopo l’installazione iniziale.

L’NFC relay cresce insieme al malware bancario Android

WindRelay arriva in un contesto nel quale gli attacchi contro i pagamenti contactless stanno aumentando rapidamente. Group-IB cita dati secondo i quali gli attacchi NFC contro Android sarebbero cresciuti del 188% nei primi quattro mesi del 2026 rispetto allo stesso periodo del 2025, passando da poco più di 12.300 a circa 35.600 rilevazioni. Il fenomeno viene spesso definito ghost tapping e ha già prodotto famiglie dedicate esclusivamente alla trasmissione a distanza delle comunicazioni tra carte e terminali. La differenza introdotta dalla nuova campagna sta nella combinazione tra relay e controllo remoto: il RAT gestisce il telefono e la banca, WindRelay gestisce la carta fisica e la telefonata coordina la vittima. Anche il quadro italiano mostra una crescente pressione dei trojan finanziari mobili. Nel riepilogo di luglio, Matrice Digitale ha ricostruito 395 campagne analizzate dal CERT-AGID, con banking trojan Android distribuiti tramite SMS e falsi servizi finanziari, comprese famiglie come RedWing, RedHook, Anatsa e BingoMod.

Il punto debole resta la combinazione tra sideloading e social engineering

La catena osservata non richiede una vulnerabilità zero-day di Android. Il primo passaggio dipende dalla capacità di convincere la vittima a installare un APK proveniente dall’esterno di Google Play e concedere al malware permessi sufficienti per controllare il telefono. Da quel momento la capacità di SpyNote riduce drasticamente il numero di ulteriori autorizzazioni richieste all’utente e permette all’operatore di procedere direttamente. Una banca autentica non dovrebbe chiedere telefonicamente di installare un’applicazione ricevuta attraverso un link, abilitare Accessibility o avvicinare una carta fisica allo smartphone per risolvere un presunto problema di sicurezza. Group-IB suggerisce inoltre agli istituti finanziari di non limitare l’analisi a una singola transazione NFC quando viene segnalato un caso di relay: se il dispositivo è stato controllato da un RAT, devono essere verificate contemporaneamente richieste di prestito, nuovi beneficiari, bonifici, modifiche dell’account e altre operazioni avvenute durante la stessa sessione. WindRelay mostra infatti che la frode mobile non segue più necessariamente una sola strada: lo smartphone compromesso diventa un punto di accesso alla banca, un terminale NFC e uno strumento di identità utilizzabile dal criminale nella stessa finestra temporale.