📰 Informação fresquinha chegando para você!
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma família de malware de retransmissão de comunicação de campo próximo (NFC) para Android, anteriormente inédita, chamada WindRelay, está sendo implantada em conjunto com um conhecido trojan de acesso remoto (RAT) chamado SpyNote como parte de um esquema de fraude de pagamento sem contato.
O malware desenvolvido especificamente, de acordo com o Group-IB, foi projetado para capturar dados de cartões ao vivo via NFC e transmiti-los aos fraudadores em tempo real. Foi detectado pela primeira vez na natureza no final de agosto de 2025.
“O acesso ao serviço de acessibilidade do SpyNote permite que o fraudador carregue e ative o aplicativo NFC silenciosamente, sem nenhum compartilhamento de tela acionado”, disseram os pesquisadores Alexander Grabko, Konstantinos Angelopoulos, Pavlos Gaitanis e Bruno Bijelić.
Esses ataques normalmente funcionam atraindo alvos em potencial por meio de golpes de phishing, smishing ou vishing para carregar um aplicativo malicioso. Uma vez instalado, o agente da ameaça abusa do acesso remoto do SpyNote para instalar o malware de retransmissão NFC sem qualquer interação adicional do usuário.
Para dar credibilidade ao esquema, o arquivo APK distribuído durante a ligação é personalizado com o nome da vítima, indicando que o processo de entrega é personalizado para cada alvo. Isto aponta para uma fase de reconhecimento pré-chamada, em que o agente da ameaça recolhe o nome e o número de telefone da vítima para tornar o pretexto da engenharia social mais persuasivo.
Posteriormente, a vítima é socialmente projetada para usar seu cartão de pagamento físico em seu próprio telefone infectado, sob o pretexto de verificação de identidade ou alteração de seu PIN e verificação de seu cartão bancário após um suposto comprometimento de sua conta.
Ao fazer isso, ele transforma o dispositivo da vítima em um proxy de pagamento sem seu conhecimento e em uma ponte ativa para fraudes de pagamento sem contato, permitindo que o malware intercepte e leia os sinais de rádio do cartão usando NFC e os transmita em tempo real para um dispositivo separado do fraudador em outro lugar.
WindRelay não é diferente porque incorpora dois componentes que funcionam em sincronia entre si -
Um componente leitor instalado no dispositivo da vítima, que faz interface com o cartão de pagamento físico via NFC
Um componente emulador instalado no dispositivo do agente da ameaça, que emula o cartão em um terminal de pagamento
Esses dois componentes interagem por meio de uma infraestrutura compartilhada de comando e controle (C2) via WebSocket, retransmitindo comandos e respostas EMV APDU entre o terminal e o cartão da vítima em tempo real.
O desenvolvimento ocorre no momento em que o malware de retransmissão NFC direcionado ao Android proliferou, expandindo-se além da República Tcheca para o Brasil, Polônia e Eslováquia no ano passado.
A principal vantagem desta técnica, também chamada Ghost Tap, é que ela permite que os cibercriminosos permaneçam anónimos e realizem levantamentos em maior escala, uma vez que a captura de dados NFC de clientes bancários permite imitar o seu cartão bancário no seu próprio dispositivo e utilizá-lo para levantamentos de dinheiro ou para efetuar pagamentos.
“Teoricamente, eles poderiam ter fazendas inteiras de telefones Android carregados com dados de cartões comprometidos, fazendo transações fraudulentas automatizadas”, observou a ESET em um relatório publicado no ano passado.
As últimas descobertas do Grupo-IB demonstram uma combinação potente de recursos de retransmissão NFC e RAT, proporcionando ao invasor mais maneiras de extrair dados, reter acesso persistente e conduzir fraudes financeiras.
Até 23 amostras do WindRelay foram carregadas no VirusTotal entre novembro de 2025 e julho de 2026, representando instituições financeiras na Tcheca, Eslováquia e Eslovênia.
A empresa de segurança cibernética com sede em Cingapura disse que isso representa uma nova evolução do malware Android e uma estratégia dupla de monetização dentro de um único esquema, onde “o acesso remoto baseado em RAT pode ser usado para obter um empréstimo digital, enquanto o malware NFC permite compras físicas com cartão presente”.
“Este caso mostra que a fraude moderna raramente depende de uma única técnica”, acrescentaram os investigadores. “Aqui, o fraudador combinou três recursos em uma única sessão – uma chamada de engenharia social ao vivo, um RAT personalizado para controle remoto de dispositivos e um malware de retransmissão NFC para saque físico.”
“O fraudador também usou esses recursos para atingir dois canais de pagamento separados – um empréstimo digital e compras com cartão presente – antes que o banco ou a vítima pudessem reagir.”
O malware desenvolvido especificamente, de acordo com o Group-IB, foi projetado para capturar dados de cartões ao vivo via NFC e transmiti-los aos fraudadores em tempo real. Foi detectado pela primeira vez na natureza no final de agosto de 2025.
“O acesso ao serviço de acessibilidade do SpyNote permite que o fraudador carregue e ative o aplicativo NFC silenciosamente, sem nenhum compartilhamento de tela acionado”, disseram os pesquisadores Alexander Grabko, Konstantinos Angelopoulos, Pavlos Gaitanis e Bruno Bijelić.
Esses ataques normalmente funcionam atraindo alvos em potencial por meio de golpes de phishing, smishing ou vishing para carregar um aplicativo malicioso. Uma vez instalado, o agente da ameaça abusa do acesso remoto do SpyNote para instalar o malware de retransmissão NFC sem qualquer interação adicional do usuário.
Para dar credibilidade ao esquema, o arquivo APK distribuído durante a ligação é personalizado com o nome da vítima, indicando que o processo de entrega é personalizado para cada alvo. Isto aponta para uma fase de reconhecimento pré-chamada, em que o agente da ameaça recolhe o nome e o número de telefone da vítima para tornar o pretexto da engenharia social mais persuasivo.
Posteriormente, a vítima é socialmente projetada para usar seu cartão de pagamento físico em seu próprio telefone infectado, sob o pretexto de verificação de identidade ou alteração de seu PIN e verificação de seu cartão bancário após um suposto comprometimento de sua conta.
Ao fazer isso, ele transforma o dispositivo da vítima em um proxy de pagamento sem seu conhecimento e em uma ponte ativa para fraudes de pagamento sem contato, permitindo que o malware intercepte e leia os sinais de rádio do cartão usando NFC e os transmita em tempo real para um dispositivo separado do fraudador em outro lugar.
WindRelay não é diferente porque incorpora dois componentes que funcionam em sincronia entre si -
Um componente leitor instalado no dispositivo da vítima, que faz interface com o cartão de pagamento físico via NFC
Um componente emulador instalado no dispositivo do agente da ameaça, que emula o cartão em um terminal de pagamento
Esses dois componentes interagem por meio de uma infraestrutura compartilhada de comando e controle (C2) via WebSocket, retransmitindo comandos e respostas EMV APDU entre o terminal e o cartão da vítima em tempo real.
O desenvolvimento ocorre no momento em que o malware de retransmissão NFC direcionado ao Android proliferou, expandindo-se além da República Tcheca para o Brasil, Polônia e Eslováquia no ano passado.
A principal vantagem desta técnica, também chamada Ghost Tap, é que ela permite que os cibercriminosos permaneçam anónimos e realizem levantamentos em maior escala, uma vez que a captura de dados NFC de clientes bancários permite imitar o seu cartão bancário no seu próprio dispositivo e utilizá-lo para levantamentos de dinheiro ou para efetuar pagamentos.
“Teoricamente, eles poderiam ter fazendas inteiras de telefones Android carregados com dados de cartões comprometidos, fazendo transações fraudulentas automatizadas”, observou a ESET em um relatório publicado no ano passado.
As últimas descobertas do Grupo-IB demonstram uma combinação potente de recursos de retransmissão NFC e RAT, proporcionando ao invasor mais maneiras de extrair dados, reter acesso persistente e conduzir fraudes financeiras.
Até 23 amostras do WindRelay foram carregadas no VirusTotal entre novembro de 2025 e julho de 2026, representando instituições financeiras na Tcheca, Eslováquia e Eslovênia.
A empresa de segurança cibernética com sede em Cingapura disse que isso representa uma nova evolução do malware Android e uma estratégia dupla de monetização dentro de um único esquema, onde “o acesso remoto baseado em RAT pode ser usado para obter um empréstimo digital, enquanto o malware NFC permite compras físicas com cartão presente”.
“Este caso mostra que a fraude moderna raramente depende de uma única técnica”, acrescentaram os investigadores. “Aqui, o fraudador combinou três recursos em uma única sessão – uma chamada de engenharia social ao vivo, um RAT personalizado para controle remoto de dispositivos e um malware de retransmissão NFC para saque físico.”
“O fraudador também usou esses recursos para atingir dois canais de pagamento separados – um empréstimo digital e compras com cartão presente – antes que o banco ou a vítima pudessem reagir.”
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #malware #windrelay #para #android #transforma #telefones #de #vítimas #em #retransmissores #nfc #para #fraude #de #pagamento
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário