תוכנה זדונית חדשה WindRelay משדרת נתוני תשלום מגע מאנדרואיד בזמן אמת

חוקרי Group-IB חשפו משפחת תוכנה זדונית חדשה לאנדרואיד בשם WindRelay, המופעלת יחד עם הסוס הטרויאני המוכר SpyNote כדי לבצע הונאת תשלום מגע (NFC) בזמן אמת. הקורבן עדיין מחזיק פיזית בכרטיס האשראי שלו, אך התוקף כבר מבצע איתו רכישות במקום אחר.

הפרטים

לפי המחקר, ההדבקה מתחילה בשיחת פישינג טלפונית (vishing) שבה התוקף מתחזה לנציג בנק ומשכנע את הקורבן להתקין אפליקציה מחוץ לחנות הרשמית. האפליקציה מכילה את SpyNote, שמנצל הרשאות נגישות (accessibility services) כדי להפעיל בשקט את רכיב ה-NFC מבלי שהמסך משותף או שהקורבן שם לב. בשלב הבא הקורבן מתבקש, תחת עילת שווא כמו "אימות זהות" או "שינוי קוד סודי", להצמיד את הכרטיס הפיזי למכשיר הנגוע. ברגע ההצמדה נשלחים נתוני הכרטיס בזמן אמת דרך תשתית WebSocket למכשיר של התוקף, שמשמש כמסוף תשלום מזויף — טכניקה המכונה בתעשייה "Ghost Tap".

לפי Group-IB, אותרו 23 גרסאות של WindRelay ב-VirusTotal בין נובמבר 2025 ליולי 2026, המחקות מוסדות פיננסיים בצ'כיה, סלובקיה וסלובניה. בתקרית מתועדת אחת, תוך שיחת טלפון של כ-13 דקות ניצל התוקף את הגישה מרחוק גם כדי להוציא הלוואה דיגיטלית על שם הקורבן — במקביל לביצוע רכישות עם הכרטיס הפיזי, כך ששני ערוצי גניבה פעלו בו-זמנית לפני שהבנק או הקורבן הספיקו להגיב.

נקודות לשים לב

• אל תתקינו אפליקציות מחוץ ל-Google Play, ובוודאי לא לפי הנחיה בשיחת טלפון מ"נציג בנק" — זו שיטת ההדבקה המרכזית בקמפיין הזה.
• אם התקבלה שיחה שמבקשת להתקין אפליקציה, לאשר הרשאות נגישות, או להצמיד כרטיס פיזי למכשיר — נתקו ופנו לבנק ישירות דרך מספר הטלפון הרשמי המופיע על גבי הכרטיס או באתר הבנק.
• ארגונים המנהלים מכשירי אנדרואיד לעובדים (MDM) כדאי שישקלו חסימת התקנת קבצי APK מחוץ לחנות הרשמית ומעקב אחר בקשות חריגות להרשאות נגישות.
• הטכניקה מוכיחה שהחזקה פיזית של הכרטיס אינה ערובה לכך שהוא לא נוצל בזמן אמת — כדאי להעלות מודעות לכך בקרב עובדים ולקוחות שחשופים לפישינג טלפוני.
• נכון לפרסום המחקר, הקמפיין תועד בעיקר באירופה (צ'כיה, סלובקיה, סלובניה); אין אישור שהוא פעיל בישראל, אך הטכניקה ניתנת להעתקה לכל אזור.

מקורות: Group-IB Research · The Hacker News