Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Flying Eagle to framework zdalnego trojana dostępowego dla systemu Android, który pozwala przestępcom tworzyć złośliwe aplikacje, zarządzać infrastrukturą sterującą oraz prowadzić kampanie ukierunkowane na kradzież danych i nadużycia finansowe. Najnowsze ustalenia wskazują, że ślady powiązanej infrastruktury wykryto na 170 serwerach dostępnych z Internetu, a sam kod źródłowy krąży w kanałach cyberprzestępczych.
Znaczenie tej sprawy wykracza poza pojedynczą kampanię malware. Mowa o dojrzałym zestawie narzędzi, który obniża próg wejścia dla kolejnych operatorów i może przyspieszyć rozwój nowych wariantów ataków na użytkowników Androida.
W skrócie
- Flying Eagle to pełny framework RAT dla Androida, a nie pojedyncza próbka złośliwego oprogramowania.
- Badacze powiązali go z fałszywą aplikacją podszywającą się pod usługę publiczną w Chinach.
- W ciągu 30 dni zidentyfikowano 170 serwerów noszących ślady zgodne z infrastrukturą tego zestawu.
- Framework umożliwia m.in. phishing, keylogging, nagrywanie ekranu, dostęp do kamery i przechwytywanie haseł płatniczych.
- Kod źródłowy i zmodyfikowane wersje zestawu mają być rozpowszechniane w kanałach cyberprzestępczych, co zwiększa ryzyko dalszej proliferacji.
Kontekst / historia
Według opublikowanych ustaleń pod koniec lipca 2026 roku kod Flying Eagle był dystrybuowany w archiwum określanym jako „Chinese Dragon”. Pakiet miał zawierać gotowe komponenty potrzebne do uruchomienia całego zaplecza operacyjnego, w tym elementy serwerowe, builder oraz panel administracyjny. Taki model dystrybucji dobrze wpisuje się w trend uprzemysłowienia mobilnej cyberprzestępczości, gdzie gotowe zestawy skracają czas wdrożenia nowej kampanii.
Badanie łączy Flying Eagle z fałszywą aplikacją podszywającą się pod usługę publiczną „公安一网通办”. To klasyczny przykład wykorzystania zaufania do instytucji publicznych w celu zwiększenia skuteczności infekcji. Użytkownik, przekonany, że instaluje legalne narzędzie administracyjne, w rzeczywistości przyznaje złośliwej aplikacji szerokie uprawnienia do urządzenia.
Analiza techniczna
Od strony technicznej Flying Eagle obejmuje builder APK, panel operatorski oraz zaplecze serwerowe. W skład zestawu miały wchodzić między innymi nginx, PHP, MySQL, serwer WebSocket oparty na Node.js, narzędzia do budowania aplikacji Android oraz zestawy szablonów phishingowych. Taka architektura sugeruje dobrze przygotowane środowisko, pozwalające zarówno generować nowe warianty malware, jak i centralnie zarządzać zainfekowanymi urządzeniami.
Panel operatorski miał umożliwiać wybór nazwy aplikacji, ikony, treści przynęty oraz adresu serwera sterującego. Następnie generowany był podpisany plik APK na bazie jednego z dostępnych szablonów. Builder losowo zmieniał nazwy pakietów i klas, a osadzone adresy C2 szyfrował przy użyciu AES-128-CBC. Dodatkowo do aplikacji dodawano duże bloki niskoentropijnych danych JSON, które miały przypominać legalne dane konfiguracyjne bibliotek SDK i utrudniać prostą analizę statyczną.
Badacze wykryli 158 serwerów na podstawie charakterystycznych cech paneli administracyjnych, przekierowań HTTPS i zgodnych nagłówków HTTP. Kolejnych 12 hostów powiązano dzięki domyślnemu certyfikatowi TLS przypisanemu do frameworka. Warto jednak podkreślić, że liczba 170 odnosi się do wykrytych śladów infrastruktury i fingerprintów, a nie do potwierdzonej liczby ofiar czy aktywnych serwerów C2.
Szczególnie groźne są możliwości samego malware. Flying Eagle wspiera przechwytywanie haseł płatniczych, rejestrowanie naciśnięć klawiszy, nagrywanie ekranu, dostęp do kamery oraz wyświetlanie ekranów phishingowych podszywających się pod aplikacje finansowe, treści dla dorosłych i usługi administracyjne. Analizowane próbki były klasyfikowane jako SpyNote i wykorzystywały usługi dostępności Androida do eskalacji uprawnień oraz wykonywania automatycznych gestów w interfejsie użytkownika.
W osobnym wątku badacze zauważyli kanały na Telegramie rozpowszechniające zmodyfikowane wersje frameworka. Pojawiły się tam także twierdzenia o rzekomym przejęciu infrastruktury klientów i wycieku danych, jednak takich deklaracji nie potwierdzono niezależnie. Sam fakt dystrybucji narzędzia w środowiskach przestępczych znacząco zwiększa ryzyko powstawania kolejnych forków i kampanii copycat.
Konsekwencje / ryzyko
Największe ryzyko dotyczy użytkowników Androida instalujących aplikacje spoza zaufanych źródeł, zwłaszcza takie, które podszywają się pod usługi publiczne, finansowe lub komunikacyjne. Po uzyskaniu odpowiednich uprawnień malware może przejąć dane logowania, informacje płatnicze, zawartość ekranu oraz kontrolę nad interakcjami użytkownika. W praktyce może to prowadzić do kradzieży środków, obejścia części mechanizmów uwierzytelniania i długotrwałej inwigilacji urządzenia.
Z punktu widzenia organizacji zagrożenie nie kończy się na warstwie konsumenckiej. Zainfekowany smartfon pracownika może stać się punktem wyjścia do przejęcia kont firmowych, wycieku danych z komunikatorów, oszustw BEC czy nadużyć związanych z MFA. Jeśli przestępcy korzystają z gotowych builderów i wspólnej infrastruktury, kampanie mogą być szybko skalowane na kolejne regiony i sektory.
Dodatkowym problemem jest rozpowszechnianie kodu źródłowego. Nawet jeśli część obecnej infrastruktury zostanie wyłączona, sam ekosystem może pozostać aktywny dzięki ponownemu wykorzystaniu panelu, buildera i szablonów phishingowych przez innych operatorów.
Rekomendacje
Organizacje powinny ograniczyć możliwość instalacji aplikacji spoza autoryzowanych sklepów i objąć urządzenia mobilne kontrolą MDM lub EMM. Kluczowe jest także monitorowanie uprawnień wysokiego ryzyka, w szczególności usług dostępności, nagrywania ekranu, nakładek ekranowych oraz uprawnień administracyjnych.
- Blokować sideloading na urządzeniach służbowych.
- Wymuszać aktualizacje systemu Android i aplikacji.
- Monitorować anomalie ruchu do serwerów WebSocket oraz nietypowych paneli administracyjnych.
- Profilować aplikacje APK pod kątem losowych nazw pakietów, zaszyfrowanych adresów C2 i sztucznego wypełniania pliku dużymi blokami JSON.
- Wykrywać nadużycia Accessibility Services oraz nietypowe żądania nadmiernych uprawnień.
Użytkownicy końcowi powinni instalować aplikacje wyłącznie z zaufanych źródeł, sprawdzać wydawcę i zachować ostrożność wobec komunikatów nakłaniających do pilnej instalacji rzekomych aplikacji urzędowych. W przypadku podejrzenia infekcji należy niezwłocznie usunąć podejrzaną aplikację, przeskanować urządzenie rozwiązaniem bezpieczeństwa, zmienić hasła do zagrożonych kont i skontaktować się z bankiem, jeśli istnieje ryzyko nadużyć finansowych.
Podsumowanie
Flying Eagle pokazuje, że mobilna cyberprzestępczość coraz częściej działa jak model usługowy, oferując builder, panel operatorski, szablony phishingowe i gotową infrastrukturę wdrożeniową. Wykrycie śladów frameworka na 170 serwerach nie oznacza automatycznie takiej samej liczby ofiar, ale potwierdza skalę oraz poziom organizacji zaplecza technicznego. Dla obrońców kluczowe pozostaje wzmacnianie higieny mobilnej, kontrola uprawnień Androida oraz detekcja infrastruktury powiązanej z operacjami C2.