Investigadores da empresa de cibersegurança Group-IB descobriram uma nova ameaça a circular nos dispositivos Android, apelidada de WindRelay. Esta ferramenta maliciosa atua em conjunto com o troiano de acesso remoto SpyNote, permitindo aos atacantes roubar dados de cartões de pagamento e efetuar transações fraudulentas em tempo real, sem exigirem a habitual partilha de ecrã ou acesso VNC.
O esquema: da chamada telefónica ao controlo total
A burla inicia-se de forma estruturada através de engenharia social. Um atacante telefona à vítima fazendo-se passar por um funcionário bancário e alerta para um falso problema urgente com o cartão de pagamento. Sob pressão, o utilizador é instruído a descarregar uma aplicação instalada fora das lojas oficiais, que na realidade esconde o malware SpyNote.
Para dar credibilidade ao esquema, a aplicação apresenta o nome da própria vítima na interface. O passo crítico ocorre quando o utilizador concede permissões de Serviço de Acessibilidade, entregando o controlo remoto do Android aos piratas informáticos e garantindo-lhes uma base sólida no sistema operativo.
WindRelay: o leitor de cartões fraudulento
Com acesso ao sistema operativo estabelecido, os atacantes instalam o WindRelay sem necessitarem de qualquer interação adicional. A partir da aplicação bancária já presente no telemóvel, chegam a contrair um empréstimo em nome do alvo da fraude.
A fase final do roubo exige uma última manipulação telefónica. A vítima é instruída a encostar o seu cartão de pagamento físico à traseira do telemóvel e a introduzir o respetivo PIN. O WindRelay transforma o dispositivo num leitor contactless clandestino, retransmitindo os dados NFC autênticos da transação de forma imediata para o equipamento do criminoso, que os usa num terminal de pagamento real e legítimo. Toda a operação ocorre no curto espaço de uma chamada de 13 minutos.
Prevenção e alvos da ameaça
A análise da Group-IB identificou perto de duas dezenas de amostras submetidas no VirusTotal entre novembro de 2025 e julho de 2026, com o foco das operações apontado a organizações na Chéquia, Eslováquia e Eslovénia, com base nas entidades imitadas e nos idiomas explorados. A porta de entrada, o SpyNote, juntamente com variantes como o SpyMax e CypherRAT, circula desde 2021, mas registou um grande aumento de deteções entre o final de 2022 e o início de 2023, após a fuga do seu código-fonte para a internet.
Esta tática reflete uma tendência crescente de ameaças focadas em NFC, juntando-se a famílias recentes como NFCShare, NGate, SuperCard X e RelayNFC. Para os utilizadores em Portugal, onde o vishing (fraude telefónica) e as chamadas falsas em nome de bancos são táticas comuns, a defesa mais eficaz mantém-se simples: nunca instalar pacotes APK fora do Google Play e, perante qualquer pedido urgente de um suposto assistente, desligar a chamada e marcar o contacto oficial da instituição.
Nenhum comentário
Seja o primeiro!