Аналітики компанії Group-IB виявили нове шкідливе програмне забезпечення WindRelay для Android, яке працює у зв’язці з трояном віддаленого доступу SpyNote. Головна мета схеми — перехоплення сигналів безконтактної оплати NFC у режимі реального часу. Жертв змушують встановити додаток через фішингові дзвінки та повідомлення. Після цього SpyNote приховано завантажує модуль WindRelay без будь-якої взаємодії з власником пристрою.

Зловмисники переконують потерпілого прикласти банківську картку до смартфона під приводом перевірки особи або зміни PIN-коду. У цей момент WindRelay зчитує радіосигнал картки та передає його через сервер WebSocket на пристрій хакера. Це дозволяє шахраям дублювати картку на власному терміналі для зняття готівки в банкоматах або здійснення покупок у магазинах. Одночасно через SpyNote хакери оформлюють цифрові кредити на ім’я потерпілого.