Nach Angaben von Group-IB spielte sich der gesamte Vorgang innerhalb eines 13-minütigen Telefonats ab. Die Transaktionen wurden mit der vom Opfer genannten PIN freigegeben. Um glaubwürdiger zu wirken, personalisierte der Täter sogar die Bezeichnung der schädlichen App mit dem Namen des Opfers.
Im untersuchten Fall diente SpyNote zunächst als Türöffner. Nachdem die RAT auf dem Gerät lief und die nötigen Berechtigungen erhalten hatte, konnte der Angreifer das Smartphone aus der Ferne bedienen. Auf diesem Weg installierte er WindRelay und nutzte die Banking-App des Opfers, um einen Kredit in dessen Namen aufzunehmen.
Parallel dazu setzte der Täter auf NFC-Weiterleitung. Das Opfer wurde angewiesen, seine Zahlungskarte an das Telefon zu halten und die PIN einzugeben. WindRelay nutzte die NFC-Schnittstelle des kompromittierten Smartphones, um mit der kontaktlosen Karte zu kommunizieren, verfügbare Daten zu erfassen und sie über das Internet an ein vom Angreifer kontrolliertes Gerät weiterzuleiten. Laut Group-IB umfasste das auch die transaktionsspezifischen Authentifizierungsdaten. Dadurch konnte der Angreifer die Karte für Einkäufe an einem echten Bezahlterminal verwenden.
Die Forscher sehen in der Kombination aus SpyNote und WindRelay möglicherweise ein Werkzeugpaket, das sowohl Zugriff auf das Gerät des Opfers für Banktransaktionen als auch einen direkten Kanal zur Monetarisierung bietet. Anders als viele moderne Android-Schadprogramme mit Live-Bildschirmfreigabe und VNC-Funktionen habe diese Kombination den Betrug ausschließlich über Social Engineering am Telefon ermöglicht.
Android-Schadprogramme für NFC-Betrug sind laut dem Bericht ein wachsendes Problem. Als Beispiele nennt der Quelltext die Familien NFCShare, NGate, SuperCard X und RelayNFC. Ein typischer Ablauf besteht demnach darin, dass das Opfer eine schädliche App installiert und ihr Zugriff auf NFC gewährt. Anschließend wird es per Social Engineering dazu gebracht, die Zahlungskarte an das kompromittierte Smartphone zu halten.
Je nach erbeuteten Daten und eingesetzter Methode können Angreifer diese Informationen für betrügerische Transaktionen oder andere Formen finanziellen Diebstahls verwenden, darunter auch Bargeldabhebungen am Geldautomaten. Im hier beschriebenen Vorfall hebt Group-IB jedoch insbesondere die Kombination aus Fernzugriff auf das Gerät und Live-Weiterleitung von NFC-Daten hervor.
SpyNote und Varianten wie SpyMax und CypherRAT kursieren laut Quelltext mindestens seit 2021. Nach dem Bekanntwerden des Quellcodes nahmen die Erkennungen Ende 2022 und Anfang 2023 zu. Die Schadsoftware kann Bankdaten, Zugangsdaten für Facebook- und Google-Konten, Google-Authenticator-Codes, SMS-Nachrichten und Standortdaten auslesen. Außerdem kann sie Mikrofon und Kamera des Geräts aktivieren sowie Tastatureingaben mitschneiden.
Group-IB identifizierte zudem fast zwei Dutzend WindRelay-Proben, die zwischen November 2025 und Juli 2026 bei VirusTotal eingereicht wurden und mit vier Command-and-Control-IP-Adressen kommunizierten. Nach Einschätzung der Forscher scheint sich die Zielauswahl auf Tschechien, die Slowakei und Slowenien zu konzentrieren, was sie aus den imitierten Organisationen und den verwendeten Sprachen ableiten.