Malware Windrelay: Robo de datos NFC mediante vishing en Android

El ecosistema de ciberseguridad móvil enfrenta una nueva frontera en el fraude financiero automatizado e interactivo. Investigadores de la firma de ciberinteligencia Group-IB han revelado los detalles de una sofisticada campaña basada en el malware windrelay, una amenaza desarrollada específicamente para el sistema operativo Android que intercepta y retransmite datos de tarjetas bancarias físicas en tiempo real mediante tecnología de comunicación de campo cercano (NFC, por sus siglas en inglés). Al fusionar técnicas de ingeniería social hiperpersonalizada por voz (vishing) con una arquitectura modular de troyanos de acceso remoto (RAT), esta operación permite a los actores de amenazas monetizar fondos bancarios y clonar tarjetas bancarias mientras la víctima mantiene el plástico en su propia mano.

A diferencia de los ataques tradicionales de clonación o recolección de credenciales mediante páginas web fraudulentas (phishing), la aparición del malware windrelay demuestra una convergencia táctica donde el dispositivo móvil de la víctima es convertido en una terminal de captura intermedia. Este esquema supera los controles de autenticación biométrica y esquemas de doble factor tradicionales al apoyarse en la retransmisión de paquetes dinámicos de comunicación EMV directamente hacia datáfonos o cajeros automáticos controlados por los atacantes.

Anatomía del ataque: Ingeniería social de alta precisión y despliegue modular

La cadena de infección de este esquema delictivo no depende de descargas masivas o propagación indiscriminada, sino de una operación cuidadosamente coordinada que suele ejecutarse en llamadas que promedian entre diez y quince minutos de duración. El proceso operativo se desglosa en fases críticas:

1. Ingeniería social y reconocimiento previo (Vishing): Un atacante se comunica telefónicamente con el usuario haciéndose pasar por un agente del departamento de prevención de fraudes de su entidad bancaria. Mediante información obtenida en filtraciones previas, el operador genera un entorno de alta urgencia, notificando sobre supuestas transacciones no autorizadas o vulnerabilidades en la cuenta.
2. Despliegue del dropper personalizado (SpyNote RAT): Para “solucionar” el incidente o verificar la identidad del cliente, el estafador instruye a la víctima para que descargue e instale un archivo APK. Mediante un generador automatizado (builder toolkit), el atacante compila una variante del conocido troyano SpyNote cuyo nombre de paquete y etiqueta visible coinciden con el nombre real de la víctima o con la aplicación oficial de la entidad financiera, eliminando cualquier sospecha inicial.
3. Control remoto y persistencia: Una vez instalado y tras conceder permisos mediante los Servicios de Accesibilidad de Android, SpyNote toma el control administrativo absoluto del teléfono. El atacante puede visualizar la pantalla en tiempo real, inyectar eventos táctiles, omitir advertencias de seguridad y operar la interfaz sin intervención de la víctima.
4. Inyección silenciosa del malware secundario: Con el dispositivo comprometido, el operador utiliza el canal remoto de SpyNote para descargar e instalar en segundo plano el componente especializado: el malware windrelay, sin que se despliegue ninguna advertencia adicional en el panel de notificaciones.

Arquitectura técnica y funcionamiento del malware windrelay en Android

El propósito fundamental de WindRelay es sortear la naturaleza física de las tarjetas de débito o crédito con tecnología contactless. Mientras que las credenciales estáticas de tarjetas son sencillas de duplicar, las tarjetas modernas utilizan estándares EMV que generan criptogramas dinámicos de un solo uso en cada lectura. WindRelay no almacena la información para un uso futuro; en su lugar, actúa como un puente de red de latencia ultra baja.

El funcionamiento a bajo nivel del malware windrelay se articula a través de tres componentes técnicos:

• Captura en la capa de abstracción de hardware (HAL): WindRelay solicita permisos directos al controlador NFC del sistema operativo Android (android.permission.NFC). Cuando la víctima, guiada por las instrucciones del atacante durante la llamada, acerca su tarjeta física al reverso del dispositivo bajo la premisa de “confirmar su identidad”, el malware toma el control del lector NFC.
• Intercepción de Unidades de Datos de Protocolo de Aplicación (APDU): El software malicioso captura el flujo bidireccional de tramas APDU estándar ISO/IEC 7816 e ISO/IEC 14443 que intercambian la tarjeta y el microcontrolador del teléfono. Esto incluye los desafíos criptográficos y respuestas generados por el chip de la tarjeta.
• Túnel de retransmisión cifrada en tiempo real: Los datos capturados no se procesan localmente, sino que se transmiten instantáneamente mediante conexiones WebSocket o túneles TCP/IP cifrados hacia la infraestructura de comando y control (C2) de los ciberdelincuentes.

En el extremo receptor, los atacantes cuentan con un dispositivo secundario —comúnmente otro teléfono Android modificado o un emulador de hardware conectado a una bobina NFC— ubicado físicamente frente a una terminal de punto de venta (POS) o un cajero automático habilitado para retiros sin contacto. Cuando el POS genera la solicitud de cobro, el dispositivo del atacante reenvía la petición al teléfono infectado; la tarjeta física de la víctima la firma criptográficamente, y la respuesta es devuelta en milisegundos a la terminal comercial, autorizando la compra o retiro de efectivo antes de que expire la ventana de tiempo de la transacción.

Doble vector de monetización: Extracción física y fraude bancario digital simultáneo

Lo que posiciona a esta campaña descubierta por Group-IB como una amenaza crítica es su estrategia de monetización simultánea. Mientras el operador de la llamada mantiene a la víctima ocupada en la línea y le pide que ingrese su código PIN o acerque la tarjeta, el atacante explota la presencia de SpyNote en el dispositivo para ejecutar fraude digital en paralelo.

A través del acceso remoto, los atacantes abren la aplicación legítima de banca móvil instalada en el equipo. Debido a que el usuario ya está autenticado o proporciona los factores adicionales engañado por el vishing, los criminales tramitan préstamos preaprobados de desembolso inmediato o incrementan los límites de transferencia de las cuentas. Inmediatamente después de que los fondos del crédito se reflejan en el saldo de la cuenta, la tarjeta física retransmitida mediante WindRelay es utilizada en cajeros automáticos o comercios de alto valor para drenar el capital recién adquirido, maximizando el perjuicio económico en una sola sesión fraudulenta.

Implicaciones para el ecosistema financiero y pagos sin contacto

El surgimiento del malware windrelay expone desafíos estructurales en la confianza depositada en las transacciones contactless y en la arquitectura de permisos de dispositivos móviles inteligentes. La seguridad de las tarjetas EMV asume que la proximidad física del plástico al lector garantiza la presencia voluntaria del titular de la cuenta. Al virtualizar y transportar la señal a través de Internet, los límites geográficos y de presencia se vuelven obsoletos frente a este tipo de ataques de retransmisión activa.

Por otro lado, la personalización en tiempo real del archivo malicioso utilizando el nombre de la víctima evidencia un grado avanzado de automatización en las herramientas empleadas por los actores delictivos, lo cual reduce significativamente la efectividad de las campañas tradicionales de concienciación sobre ciberseguridad.

Estrategias de mitigación, defensa y respuesta técnica

Para contrarrestar la amenaza representada por el malware windrelay y variantes similares de retransmisión de señales, tanto usuarios finales como instituciones bancarias deben implementar directrices de defensa en profundidad:

Recomendaciones para usuarios finales

• Desactivación proactiva del NFC: Mantener apagado el controlador NFC en los ajustes del dispositivo y habilitarlo exclusivamente en el instante previo a realizar un pago personal en comercios verificados.
• Principio de desconfianza telefónica: Ninguna entidad bancaria solicita a sus clientes que acerquen su tarjeta física al teléfono celular o que descarguen aplicaciones fuera de Google Play Store para realizar validaciones de seguridad o cancelar transacciones sospechosas.
• Control estricto de instalación de APKs: Bloquear la habilitación de “Fuentes desconocidas” y rechazar cualquier solicitud de instalación de paquetes de origen externo promovida a través de llamadas, mensajes de WhatsApp o enlaces SMS.

Medidas para entidades bancarias y desarrolladores

• Implementación de telemetría de latencia EMV: Incorporar análisis de tiempo de respuesta (RTT) en los protocolos de autorización de transacciones contactless, descartando operaciones donde el tiempo de intercambio de tramas APDU supere los umbrales típicos de una comunicación física local.
• Protección avanzada en aplicaciones financieras: Integrar soluciones de seguridad móvil (Mobile Threat Defense) y APIs de atestación de integridad (como Google Play Integrity API) capaces de detectar si los Servicios de Accesibilidad están siendo abusados o si existen herramientas de administración remota activas en el dispositivo.
• Detección de comportamiento anómalo: Monitorear patrones de solicitud de créditos instantáneos que sean seguidos inmediatamente por intentos de transacciones NFC de alto valor o retiros en cajeros automáticos no habituales.

La combinación de ingeniería social agresiva y capacidades técnicas de retransmisión en vivo consolida a WindRelay como un recordatorio crítico: en el ecosistema de amenazas móviles contemporáneo, la seguridad de las plataformas de pago depende tanto de la robustez del software como de la resistencia ante la manipulación psicológica.