WindRelayとして追跡されている新種のAndroidマルウェアが、リモートアクセス型トロイの木馬SpyNoteと組み合わせて使われ、被害者のスマートフォンを不正な非接触型カードリーダーに変えることで、リアルタイムかつ「カード提示型」の詐欺を可能にしていることが確認されました。
DownloadAntivirus Software
Group-IBの調査は、攻撃者が銀行員になりすまして被害者に悪意あるAndroidアプリをインストールさせた、13分間に及ぶ詐欺電話を中心に行われました。
最初のペイロードは、アプリケーションのラベルに被害者本人の名前を使用した、個別にカスタマイズされたSpyNoteの亜種でした。これは、サイドロードされたAPKを不審なものではなく見慣れたものに見せかけるための、信頼を悪用する手口です。
その後SpyNoteはAndroidのユーザー補助機能（Accessibility Service）の権限を悪用し、2つ目のアプリケーションであるWindRelayを密かに展開しました。
認証情報の窃取やオーバーレイ攻撃を主眼とする一般的なバンキングマルウェアとは異なり、WindRelayはNFCリレー操作専用に作られています。有効化されると、侵害されたスマートフォンを偽のPOS（決済)端末に変えてしまいます。
被害者は、カードを保護あるいは確認するためという名目で、物理的な決済カードをスマートフォンにかざし、PINコードを入力するよう指示されます。
しかし実際には、マルウェアがそのライブのEMV非接触通信をキャプチャし、攻撃者が管理するインフラを経由して2台目のAndroid端末に中継しています。
その遠隔地の端末が、実際の加盟店端末やATMで被害者のカードをエミュレートします。犯人は静的なカード情報を複製したり、物理的なカードを所持したりする必要はありません。リレーが本物のカードと正規の端末との間でトランザクションメッセージをリアルタイムに転送するだけで済むのです。
端末側は有効かつライブの暗号応答を受け取るため、決済は通常のカード提示型取引に見えてしまいます。この詐欺手法は一般に「NFCリレー詐欺」あるいは「ゴーストタップ（Ghost Tap）」と呼ばれています。
Group-IBの研究者は、この手口はNFCリレー型マルウェア、遠隔端末制御、そしてライブのビッシング（音声フィッシング)電話がいかに融合し、銀行や被害者が侵害に気づく前に口座を空にできる高速な現金化モデルを生み出しているかを示していると述べています。
WindRelayがAndroidスマートフォンを変貌させる仕組み
この手口の効果は、その層状の設計にあります。通話を継続することで社会的工学が絶え間なく行われ、被害者がプロンプトや警告を自分自身で冷静に判断することを妨げます。
SpyNoteは、従来型の画面共有の仕組みを必ずしも使わずに、永続的な遠隔操作を提供します。WindRelayは独立したカード詐欺用のチャネルを作り出し、実行犯がカードのタップから数秒で収益化できるようにします。
今回調査された事案では、攻撃者は入手したアクセス権を悪用して被害者の銀行アプリを通じてデジタルローンを不正取得しており、口座乗っ取りと物理決済による現金化を1回のセッション内で組み合わせていました。
WindRelayが要求する権限セットは、その運用上の役割を反映しています。NFCは非接触型カードとの通信を可能にし、インターネットおよびネットワーク状態へのアクセスは即座のデータ中継を支えます。
連絡先へのアクセスは、その後の標的選定を支援する可能性があり、通常見られない「DUMP」権限は、実行犯が端末の状態を調べたり防御ツールを識別したりする助けになっている可能性があります。
Group-IBはまた、内部コンポーネントを分離し、他のアプリケーションによる検査を困難にすることを狙ったとみられる、カスタムのアプリケーション権限も確認しました。
このマルウェアは特定の被害者や地域に限定されていません。研究者らはWindRelay関連のサンプルを、チェコ、スロバキア、スロベニアを標的としたキャンペーンに関連付けており、2025年11月から2026年7月の間にVirusTotalへ提出された23件のサンプルと、NFCトラフィックの中継に使われた4つのコマンド＆コントロール(C2)のIPアドレスを特定しました。
DownloadAntivirus Software
この脅威を取り巻くエコシステム全体も拡大を続けています。別の調査でも、Androidマルウェア、悪意あるカード確認を装う誘導、そして攻撃者が運用するリレーサーバーを利用して遠隔で非接触型取引を完了させるNFCリレー攻撃キャンペーンが確認されています。
今回の事案は、銀行や不正対策チームにとって重要な防御上のポイントを改めて浮き彫りにしています。それは、画面共有が行われていないからといって、遠隔操作が行われていないとは限らないという点です。
信頼性の高い兆候としては、通話中にサイドロードされたアプリケーションのインストール、ユーザー補助機能(Accessibility Service)の悪用、個別にカスタマイズされたAPKラベル、複数アプリの急速なインストール、そしてNFC・インターネット・不審な端末検査権限の組み合わせなどが挙げられます。
ユーザーへの注意点として、銀行が予期しないサポート電話の最中にAPKのインストールやユーザー補助機能の有効化、あるいは物理カードをスマートフォンにかざすよう求めることは決してありません。
そのようなことを求める銀行があれば、公式の電話番号を通じて独自に確認を取るべきです。防御側にとって、WindRelayはNFC詐欺の検知が、取引スコアリングにとどまらず、モバイル端末のテレメトリ、アプリの出所、セッションの挙動、そしてリアルタイムの通話コンテキストにまで及ぶ必要があることを示しています。
侵害指標(IOC)
| IOC | 種別 |
|---|---|
| 88[.]86[.]124[.]114 | C2 IP |
| 185[.]100[.]87[.]116 | C2 IP |
| 185[.]100[.]87[.]223 | C2 IP |
| 213[.]218[.]160[.]48 | C2 IP |
| 852322e063872a025b711d5adf08531eac36a265 | SHA1 |
| 11f9fb29f2cc142e81c804f53599ae36282c95b3 | SHA1 |
| 50cf07b97ef999e9fc5c7efae19d0e5f39db39fa | SHA1 |
| 850680506df7892d43b3382f0f89a06ef18837c7 | SHA1 |
| 1371b2b2da10ed178d26a7aad191634553f865ae | SHA1 |
注： IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンス処理（例： [.]）が施されています。再度有効な形式に戻す際は、MISPやVirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
【ライブウェビナー】Elastic&UnderDefenseと共に、小規模なセキュリティチームがAIの可視性とエージェント型対応を単一の運用モデルへと統合する方法を学びましょう。-> 今すぐ登録
翻訳元: https://gbhackers.com/windrelay-turns-android-phones/
