Malware Android Gabungan SpyNote dan WindRelay Mencuri Data Kartu Kredit serta Mengambil Pinjaman

Kombinasi malware Android WindRelay dan remote administration tool (RAT) SpyNote digunakan untuk melakukan penipuan finansial yang menggabungkan pengambilalihan perangkat, pencurian data kartu pembayaran, hingga pengajuan pinjaman atas nama korban.

WindRelay merupakan malware yang memanfaatkan teknologi NFC (near-field communication) untuk melakukan relay attack. Malware ini bekerja bersama SpyNote, yang memberikan akses jarak jauh kepada pelaku terhadap perangkat Android korban.

Serangan tersebut ditemukan dalam sebuah kasus yang diselidiki perusahaan keamanan siber Group-IB. Pelaku awalnya menyamar sebagai pegawai bank dan menghubungi korban melalui telepon dengan alasan terdapat masalah pada kartu pembayaran milik korban.

Korban Diminta Memasang SpyNote

Dalam percakapan telepon tersebut, pelaku mengarahkan korban untuk memasang aplikasi Android dari luar toko aplikasi resmi. Aplikasi tersebut sebenarnya merupakan SpyNote RAT yang disamarkan sebagai aplikasi legitimate.

Korban kemudian diminta memberikan izin Accessibility Service kepada aplikasi tersebut. Dengan izin ini, pelaku dapat memperoleh kontrol jarak jauh terhadap berbagai fungsi perangkat Android.

Untuk membuat aplikasi terlihat lebih meyakinkan, pelaku bahkan menyesuaikan nama aplikasi menggunakan nama korban. Teknik personalisasi tersebut dapat meningkatkan kepercayaan korban karena aplikasi terlihat seolah-olah memang dibuat khusus untuk kebutuhan mereka.

Setelah akses jarak jauh berhasil diperoleh, pelaku memasang WindRelay ke perangkat tanpa memerlukan tindakan tambahan dari korban.

WindRelay Mengubah Ponsel Menjadi Pembaca Kartu Palsu

Dengan akses yang sudah diperoleh melalui SpyNote, pelaku kemudian menggunakan aplikasi perbankan pada perangkat korban untuk mengajukan pinjaman atas nama korban.

Namun, aktivitas tersebut bukan satu-satunya tujuan serangan.

Korban juga diarahkan untuk menempelkan kartu pembayaran mereka ke smartphone dan memasukkan PIN. Pada tahap ini, WindRelay memanfaatkan NFC pada perangkat untuk mengubah smartphone korban menjadi semacam pembaca kartu contactless palsu.

Komunikasi NFC antara kartu pembayaran dan smartphone kemudian diteruskan secara real-time ke perangkat yang dikendalikan pelaku.

Data autentikasi yang bersifat spesifik untuk transaksi tersebut ikut diteruskan melalui koneksi internet. Dengan mekanisme ini, pelaku dapat menggunakan data dari kartu korban untuk melakukan transaksi pada terminal pembayaran yang sebenarnya.

Yang membuat serangan ini berbahaya adalah prosesnya tidak hanya mengandalkan pencurian nomor kartu. Pelaku memanfaatkan komunikasi NFC secara langsung sehingga data yang diperlukan untuk transaksi dapat diteruskan ketika kartu sedang berada di dekat perangkat korban.

Seluruh Serangan Berlangsung Hanya dalam 13 Menit

Menurut Group-IB, seluruh rangkaian aktivitas tersebut berlangsung dalam satu panggilan telepon selama sekitar 13 menit.

Transaksi yang dilakukan pelaku juga berhasil mendapatkan persetujuan karena PIN kartu diberikan sendiri oleh korban setelah diarahkan oleh penipu.

Kombinasi SpyNote dan WindRelay menunjukkan adanya kemungkinan penggunaan toolkit penipuan yang dirancang untuk menyediakan dua kemampuan sekaligus.

SpyNote memberikan akses terhadap perangkat dan memungkinkan pelaku melakukan transaksi melalui aplikasi perbankan, sedangkan WindRelay menyediakan jalur langsung untuk melakukan cash-out menggunakan kartu pembayaran korban.

Berbeda dengan banyak malware Android modern yang mengandalkan fitur live screen sharing atau VNC untuk mengendalikan perangkat, skenario ini sebagian besar dapat dijalankan melalui rekayasa sosial lewat sambungan telepon.

Serangan NFC Relay Semakin Menjadi Ancaman

Penyalahgunaan NFC pada Android menjadi salah satu tren yang semakin diperhatikan dalam penipuan kartu pembayaran.

Dalam pola serangan NFC relay, korban biasanya diminta memasang aplikasi berbahaya dan memberikan izin untuk mengakses NFC. Setelah itu, pelaku menggunakan rekayasa sosial untuk meminta korban menempelkan kartu pembayaran ke smartphone yang sudah terinfeksi.

Smartphone tersebut kemudian berkomunikasi dengan kartu contactless dan mengambil data yang dapat diteruskan melalui internet ke perangkat milik pelaku.

Bergantung pada data yang diperoleh dan teknik yang digunakan, informasi tersebut dapat digunakan untuk melakukan transaksi tanpa izin maupun bentuk pencurian finansial lainnya. Dalam skenario tertentu, teknik tersebut bahkan dapat digunakan untuk melakukan penarikan uang melalui ATM.

Beberapa keluarga malware Android sebelumnya juga telah menggunakan teknik serupa, termasuk NFCShare, NGate, SuperCard X, dan RelayNFC.

SpyNote Sudah Beredar Selama Bertahun-tahun

SpyNote sendiri bukan malware baru. RAT tersebut beserta variannya, termasuk SpyMax dan CypherRAT, telah beredar setidaknya sejak 2021.

Kemampuan SpyNote cukup luas. Malware ini dapat mencuri data perbankan, kredensial Facebook dan Google, kode Google Authenticator, informasi lokasi GPS, serta pesan SMS.

Malware tersebut juga dapat mengaktifkan microphone dan kamera perangkat serta merekam input dari keyboard.

Deteksi terhadap SpyNote sempat meningkat pada akhir 2022 dan awal 2023, terutama setelah source code malware tersebut bocor sehingga membuka peluang bagi lebih banyak pelaku untuk menggunakan maupun memodifikasinya.

WindRelay Terdeteksi di Hampir Dua Puluh Sampel

Group-IB mengidentifikasi hampir dua lusin sampel WindRelay yang dikirimkan ke VirusTotal antara November 2025 hingga Juli 2026.

Sampel-sampel tersebut diketahui berkomunikasi dengan empat alamat IP command-and-control (C2), yang digunakan sebagai infrastruktur komunikasi malware dengan operatornya.

Berdasarkan organisasi yang ditiru serta bahasa yang digunakan dalam kampanye, peneliti memperkirakan bahwa target serangan terutama berada di Czechia, Slovakia, dan Slovenia.

Temuan ini menunjukkan bahwa serangan tidak hanya bergantung pada kemampuan teknis malware, tetapi juga pada rekayasa sosial yang disesuaikan dengan target lokal.

Waspadai Panggilan Mengatasnamakan Bank

Pengguna Android disarankan menghindari pemasangan APK dari luar Google Play, terutama jika aplikasi tersebut berasal dari pihak yang tidak dikenal atau dikirimkan melalui instruksi telepon.

Perhatian khusus juga diperlukan terhadap aplikasi yang meminta akses NFC, Accessibility Service, maupun permission berisiko tinggi lainnya. Aplikasi yang benar-benar membutuhkan akses tersebut seharusnya memiliki alasan penggunaan yang jelas dan berasal dari publisher yang dapat dipercaya.

Jika menerima panggilan yang mengaku berasal dari bank dan meminta pengguna melakukan tindakan mendesak terhadap rekening atau kartu, sebaiknya jangan mengikuti instruksi penelepon.

Putuskan panggilan tersebut, kemudian hubungi kembali bank menggunakan nomor resmi yang tercantum pada website atau kanal resmi organisasi terkait. Dengan cara ini, pengguna dapat memastikan apakah memang terdapat masalah pada rekening atau kartu tanpa mengikuti arahan pihak yang belum terverifikasi.

Sumber: Group-IB