Nach Angaben von Group-IB ist WindRelay gezielt dafür gebaut, Live-Kartendaten über NFC zu erfassen und unmittelbar an Betrüger zu übertragen. Die Forscher Alexander Grabko, Konstantinos Angelopoulos, Pavlos Gaitanis und Bruno Bijelić schreiben, dass der Zugriff von SpyNote auf den Bedienungshilfen-Dienst es den Angreifern erlaubt, die NFC-App unbemerkt nachzuladen und zu aktivieren, ohne dass jemals eine Bildschirmfreigabe ausgelöst wird.

Die Angriffe setzen demnach auf eine Kombination aus Social Engineering und Fernzugriff. Opfer werden über Phishing, Smishing oder Vishing zum Installieren einer schädlichen App verleitet. Um die Masche glaubwürdiger zu machen, ist die während des Telefonats verteilte APK-Datei mit dem Namen des Opfers personalisiert. Für Group-IB deutet das auf eine vorgeschaltete Aufklärungsphase hin, in der Name und Telefonnummer des Zieles gesammelt werden, um den Vorwand überzeugender zu gestalten.

Im nächsten Schritt bringen die Täter das Opfer dazu, die eigene Zahlungskarte an das infizierte Smartphone zu halten. Als Begründung dienen laut Bericht etwa eine Identitätsprüfung oder die Aufforderung, die PIN zu ändern und die Bankkarte nach einer angeblichen Kontokompromittierung zu verifizieren. Dadurch wird das Gerät des Opfers zu einer Brücke für kontaktlosen Zahlungsbetrug: Die Malware liest die Funksignale der Karte per NFC aus und überträgt sie in Echtzeit an ein anderes Gerät der Täter.

Group-IB beschreibt WindRelay als Zusammenspiel zweier Komponenten, die über eine gemeinsame Command-and-Control-Infrastruktur per WebSocket miteinander kommunizieren. Dabei werden EMV-APDU-Befehle und -Antworten in Echtzeit zwischen dem Terminal und der Karte des Opfers weitergereicht.

Die neuen Erkenntnisse erscheinen vor dem Hintergrund einer breiteren Verbreitung von NFC-Relais-Malware auf Android. Im vergangenen Jahr habe sich diese Bedrohung laut Quelltext über die Tschechische Republik hinaus nach Brasilien, Polen und in die Slowakei ausgedehnt. Der wesentliche Vorteil dieser auch als Ghost Tap bezeichneten Methode besteht darin, dass Cyberkriminelle anonym bleiben und Auszahlungen in größerem Maßstab vornehmen können: Wer die NFC-Daten von Bankkunden abgreift, kann deren Bankkarte auf einem eigenen Gerät nachahmen und damit Bargeld abheben oder Zahlungen auslösen.

ESET hatte bereits im vergangenen Jahr in einem Bericht darauf hingewiesen, dass Täter theoretisch ganze Farmen von Android-Smartphones mit kompromittierten Kartendaten bestücken könnten, um automatisierte betrügerische Transaktionen auszuführen. Die aktuellen Erkenntnisse von Group-IB zeigen nun die Verbindung von NFC-Relais und RAT-Funktionen, die Angreifern zusätzliche Möglichkeiten verschafft, Daten abzuschöpfen, dauerhaften Zugriff zu behalten und Finanzbetrug zu begehen.

Zwischen November 2025 und Juli 2026 wurden laut Group-IB insgesamt 23 WindRelay-Proben bei VirusTotal hochgeladen. Diese gaben sich als Finanzinstitute in Tschechien, der Slowakei und Slowenien aus. Das in Singapur ansässige Sicherheitsunternehmen wertet das als neue Entwicklungsstufe von Android-Malware und als doppelte Monetarisierungsstrategie in einem einzigen Schema: Der RAT-gesteuerte Fernzugriff könne für die Aufnahme eines digitalen Kredits genutzt werden, während die NFC-Malware physische Käufe mit vorgehaltener Karte ermögliche.

Die Forscher betonen, dass moderner Betrug selten nur auf einer einzigen Technik beruhe. In diesem Fall kombinierten die Täter in einer einzigen Sitzung drei Fähigkeiten: einen Live-Anruf für Social Engineering, einen personalisierten RAT zur Fernsteuerung des Geräts und eine NFC-Relais-Malware für die physische Auszahlung. Zudem seien damit zwei getrennte Auszahlungskanäle genutzt worden: ein digitaler Kredit und Einkäufe mit vorgehaltener Karte, noch bevor Bank oder Opfer reagieren konnten.