LONDON (IT BOLTWISE) – Eine neue Android-Malware namens WindRelay verknüpft NFC-Relay mit Remote-Access-Fähigkeiten, um Kontaktlos-Zahlungen live zu missbrauchen. Die Angreifer nutzen dabei die bekannte SpyNote-RAT, um heimlich eine NFC-App nachzuinstallieren und zu aktivieren. Laut Group-IB wurden die ersten Fälle Ende August 2025 beobachtet. Ziel ist es, Card-Data über NFC abzugreifen und so Zahlungen oder Abhebungen mit Kartenpräsenz betrügerisch auszuführen.
WindRelay ist ein gutes Beispiel dafür, wie sich Android-Malware von einzelnen „Werkzeugen“ zu zusammengesetzten Betrugsketten entwickelt. Im Kern geht es um einen NFC-Relay-Ansatz, der auch als Ghost Tap bekannt ist: Statt die Karte selbst direkt zu kopieren, wird der Funkschnittstellen-Dialog zwischen einer physischen Zahlungskarte und einem Terminal über zwei Geräte hinweg „durchgereicht“. Dadurch kann eine betrügerische Zielumgebung so wirken, als würde die Karte in Echtzeit am Bezahlsystem anwesend sein. Der Unterschied bei WindRelay: Das Relay ist nicht nur ein Standalone-Mechanismus, sondern hängt eng mit einer Remote-Access-Komponente zusammen, die auf dem Zielgerät installiert wird und die weitere Manipulation im Hintergrund ermöglicht.
Die technische Klammer liefert die SpyNote-RAT, deren Accessibility-Service-Rechte gezielt für den Betrugsablauf genutzt werden. Laut den Forschern ist der entscheidende Punkt, dass der Betrüger die NFC-App „sideloadet“ und danach aktiviert, ohne dass der Nutzer dafür typischerweise sichtbare Interaktionen wie Screen Sharing oder ähnliches auslösen muss. Praktisch heißt das: Der initiale Zugang erfolgt über Social Engineering, etwa via Phishing, Smishing oder Vishing, wobei der Angreifer im Telefonat eine APK-Datei bereitstellt. Damit diese Installationsroutine glaubwürdig wirkt, wird das APK angeblich mit dem Namen des Opfers personalisiert, was auf eine vorbereitende Phase hindeutet, in der Nummer und Name vor dem Anruf gesammelt werden. Sobald der Remote-Zugriff steht, kann die Angriffslogik den nächsten Schritt nachladen: die NFC-Relay-Komponente, die dann die Zahlungsschnittstelle missbraucht.
WindRelay besteht aus zwei abgestimmten Bausteinen, die über eine gemeinsame Command-and-Control-Infrastruktur kommunizieren. Auf dem Opfergerät läuft ein „Reader“-Component, die per NFC mit der physischen Zahlungskarte interagiert. Auf der Angreifer-Seite emuliert eine zweite Komponente die Karte an einem Payment-Terminal, sodass das Terminal die erwarteten Kartenantworten erhält. Entscheidend für die Echtzeitfähigkeit ist, dass die Komponenten über WebSocket koordiniert werden und EMV-APDU-Kommandos samt Antworten weiterreichen. Für Betreiber von Karten- und Terminal-Ökosystemen ist das relevant, weil die Standard-Plausibilitätsprüfungen häufig davon ausgehen, dass die physische Karte nur in unmittelbarer Umgebung „spricht“; hier wird diese Annahme durch die Kommunikationsbrücke gezielt unterlaufen.
Der Ablauf, den die Quelle beschreibt, setzt auf die gleiche menschliche Schwachstelle wie viele aktuelle Kampagnen: Das Opfer soll aktiv eine legitime Handlung ausführen, die am Ende den Betrug ermöglicht. Dazu werden die Betroffenen angeblich dazu gebracht, die eigene Zahlungskarte an ihr infiziertes Smartphone zu halten. Das geschieht im Rahmen einer inszenierten Begründung, etwa als „Identitätsprüfung“, oder mit dem Hinweis, den PIN zu ändern bzw. ihre Banking-Karte nach einer vermeintlichen Kontompromittierung zu verifizieren. Aus Sicht der Malware wird damit aus dem Smartphone eine Art Zahlungs-Proxysystem, das die Funksignale der Karte über NFC abgreift, sie liest und anschließend in Echtzeit an das Betrügergerät streamt. So entsteht eine live Verknüpfung zwischen Karten-Dialog und Terminal, bei der die Opferaktivität unbemerkt als „Trigger“ dient und damit die Angreiferkette stabilisiert.
Für die Einordnung in den Markt ist vor allem die Kombination aus zwei Erlöswegen innerhalb einer Sitzung interessant. Laut Group-IB wurden zwischen November 2025 und Juli 2026 bis zu 23 WindRelay-Samples auf VirusTotal hochgeladen, wobei sich die Angriffe auf Länder wie Tschechien, die Slowakei und Slowenien konzentrierten. Die Quelle beschreibt zudem, dass NFC-Relay-Malware gegen Android in den vergangenen Monaten über die Region hinaus gewachsen ist, unter anderem nach Brasilien und Polen. Strategisch ergibt sich daraus ein Muster, das in der Praxis häufig beobachtbar ist: Mit einem einmal kompromittierten Zugang können Angreifer sowohl „digitale“ Abzüge als auch „card-present“ Geschäfte fahren. Die SpyNote-RAT bringt Persistenz und zusätzlichen Zugriff, während das NFC-Relay den physischen Kartenmoment abgreift; zusammen entsteht eine duale Monetarisierung, bei der ein einzelner Betrugsprozess mehrere Auszahlungskanäle adressiert, bevor Bank oder Opfer reagieren.
Auch die Risiken für Verteidigung und Incident Response ändern sich, sobald kein reines „NFC-Relay-Skript“ mehr im Vordergrund steht. ESET hatte in einem früheren Bericht theoretisch auf „Farmen“ von Android-Geräten hingewiesen, die mit kompromittierten Kartendaten automatisiert Transaktionen ausführen könnten; WindRelay liefert dafür nun die konkrete technische Brücke zwischen Datenabgriff und automatisierbarer Remote-Steuerung. Für Unternehmen mit Zahlungsprozessen bedeutet das: Die Erkennung darf nicht nur auf einen Indikator (etwa ungewöhnliches NFC-Verhalten) reduziert sein, sondern muss auch die Fernsteuerung und das Social-Engineering-Setup einbeziehen. Dazu gehören zum Beispiel die Überwachung von ungewöhnlichen Accessibility-Zugriffen, das Logging der App-Installationspfade und ein sauberes Response-Verfahren für Fälle, in denen Nutzer im Telefonat zur Installation einer personalisierten APK oder zur „PIN-/Kartenverifikation“ gedrängt werden. Denn die technische Hürde ist nicht die reine Emulator-Logik am Terminal, sondern das gesamte Zusammenspiel aus Zugang, heimlicher Aktivierung und Echtzeitdatenübertragung.
In der nächsten Evolutionsstufe liegt der Fokus damit weniger auf einer einzelnen Schwachstelle, sondern auf der Systematik: Erst Recherche (Name und Nummer), dann Gesprächs-Setup, dann Remote-Access zur unauffälligen App-Aktivierung und schließlich NFC-Relay mit EMV-APDU-Weitergabe. Genau dieses „mehrstufige Design“ wird in der Quelle als Kernbotschaft betont: Moderne Fraud-Operanden setzen selten nur eine Technik ein. Für Sicherheitsverantwortliche heißt das, dass Prävention und Erkennung entlang der Kette gedacht werden müssen – vom Zugriff auf das Gerät bis zur Interaktion zwischen Karte, Smartphone und Terminal. Wenn solche Kampagnen weiter zunehmen, wird der konkrete Gegenpol weniger „ein Patch für NFC“ sein, sondern die Kombination aus Nutzeraufklärung, Endpoint-Härtung, Rechtekontrolle und adaptiven Betrugserkennungsregeln, die auch Verzögerungs- und Musteranomalien in der Relay-Kette berücksichtigen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WindRelay: Android-NFC-Relay koppelt sich per RAT an SpyNote für Payment-Fraud" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WindRelay: Android-NFC-Relay koppelt sich per RAT an SpyNote für Payment-Fraud" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WindRelay: Android-NFC-Relay koppelt sich per RAT an SpyNote für Payment-Fraud« bei Google Deutschland suchen, bei Bing oder Google News!