WindRelay trên Android bị dùng để chuyển tiếp NFC trong gian lận thanh toán
"Researchers reported a previously unseen Android malware family, WindRelay, being used with the SpyNote RAT to carry out NFC relay-based payment fraud. The malware captures live EMV card data via NFC and relays it in real time to an attacker-controlled device, enabling card-present purchases and other fraudulent transactions; no CVE was mentioned, and the article does not describe a software fix."
Đây là mối đe dọa gian lận tài chính trực tiếp, có thể chuyển tiếp dữ liệu thẻ theo thời gian thực và hỗ trợ giao dịch thẻ hiện diện trái phép.
Có thể gây tổn thất tài chính, tăng rủi ro gian lận thanh toán và làm phát sinh chi phí cho giám sát, điều tra, xử lý sự cố.
Các nhà nghiên cứu của Group-IB cho biết một họ mã độc Android mới có tên WindRelay đang được triển khai cùng với SpyNote RAT trong các chiến dịch gian lận thanh toán không tiếp xúc. Mã độc này được thiết kế để thu thập dữ liệu thẻ EMV qua NFC trên thiết bị nạn nhân và chuyển tiếp theo thời gian thực đến thiết bị do kẻ tấn công kiểm soát, từ đó thực hiện giao dịch thẻ hiện diện hoặc các hành vi gian lận khác.
Theo báo cáo, chiến dịch thường bắt đầu bằng phishing, smishing hoặc vishing để dụ nạn nhân cài ứng dụng độc hại. Sau khi cài đặt, kẻ tấn công lợi dụng SpyNote để kích hoạt ứng dụng NFC mà không cần tương tác thêm. Một số mẫu APK còn được cá nhân hóa theo tên nạn nhân nhằm tăng độ tin cậy trong cuộc gọi lừa đảo.
WindRelay gồm hai thành phần: reader component trên máy nạn nhân và emulator component trên thiết bị của kẻ tấn công, liên lạc qua WebSocket và hạ tầng C2 để chuyển tiếp lệnh EMV APDU theo thời gian thực. Nhóm nghiên cứu ghi nhận 23 mẫu WindRelay trên VirusTotal trong giai đoạn 11/2025 đến 7/2026.
Khuyến nghị: tăng cường đào tạo nhận diện lừa đảo, hạn chế sideloading, giám sát ứng dụng có quyền Accessibility Service, và triển khai kiểm soát phát hiện hành vi NFC relay cùng RAT trên thiết bị Android.