Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Flying Eagle to rozbudowany ekosystem cyberprzestępczy wymierzony w urządzenia z Androidem, łączący generator złośliwych aplikacji APK z panelem zdalnego zarządzania zainfekowanymi smartfonami. Nagłośnienie sprawy nastąpiło po wykryciu fałszywej aplikacji podszywającej się pod chińską usługę policyjną, która w rzeczywistości instalowała mobilnego trojana typu RAT i otwierała atakującym szeroki dostęp do urządzenia ofiary.
Incydent pokazuje, że mobilne zagrożenia coraz częściej funkcjonują jako gotowe platformy usługowe. Zamiast pojedynczej próbki malware, przestępcy otrzymują kompletne zaplecze do budowy kampanii, dystrybucji aplikacji oraz obsługi przejętych urządzeń.
W skrócie
- Flying Eagle łączy builder APK i panel command-and-control w jednym frameworku.
- Ekosystem został powiązany z fałszywą aplikacją imitującą chińską instytucję bezpieczeństwa publicznego.
- Badacze zidentyfikowali rozbudowaną infrastrukturę obejmującą około 170 aktywnych serwerów.
- Malware umożliwia phishing nakładkowy, kradzież poświadczeń, przechwytywanie SMS-ów oraz zdalny dostęp do ekranu, kamery i mikrofonu.
- Po wycieku kodu źródłowego pojawiły się liczne forki i zmodyfikowane warianty, a także następca platformy rozwijany pod nazwą Night Dragon.
Kontekst / historia
Początkiem analizy była oszukańcza aplikacja na Androida, podszywająca się pod usługę Provincial Public Security Bureau. Badanie próbki doprowadziło analityków do kanałów dystrybucyjnych w Telegramie oraz do frameworka Flying Eagle, znanego również pod nazwą 飞鹰.
Kluczowym momentem dla rozwoju zagrożenia był wyciek kodu źródłowego i kompromitacja danych klientów korzystających z tej platformy. W efekcie Flying Eagle przestał być narzędziem dostępnym dla wąskiej grupy operatorów, a stał się bazą dla kolejnych wariantów, poprawek i usług sprzedawanych w podziemiu.
Taki model jest dobrze znany w świecie cyberprzestępczym. Po ujawnieniu kodu szybko pojawiają się nowe edycje, pakiety wsparcia i instrukcje użycia, co obniża próg wejścia dla mniej zaawansowanych sprawców i przyspiesza skalowanie kampanii.
Analiza techniczna
Od strony technicznej Flying Eagle wyróżnia się połączeniem dwóch podstawowych komponentów. Pierwszy to builder APK, pozwalający operatorowi skonfigurować nazwę aplikacji, ikonę, treść przynęty oraz adres serwera C2. Drugi to panel administracyjny, z którego można zarządzać zainfekowanym urządzeniem i wydawać polecenia malware.
Szablony wykorzystywane przez operatorów podszywały się nie tylko pod usługi publiczne, ale również pod aplikacje finansowe, platformy społecznościowe i serwisy rozrywkowe. Dzięki temu kampanie mogły być łatwo dostosowywane do konkretnych scenariuszy oszustwa, w tym do przejmowania danych logowania, wyłudzania kodów jednorazowych i ataków na portfele kryptowalutowe.
Możliwości frameworka obejmowały między innymi:
- przechwytywanie poświadczeń z użyciem nakładek phishingowych,
- rejestrowanie aktywności użytkownika,
- wykonywanie zrzutów ekranu,
- zdalny podgląd i kontrolę urządzenia,
- dostęp do SMS-ów, zdjęć, plików, kamery i mikrofonu.
Twórcy zastosowali również mechanizmy utrudniające analizę i detekcję. Wśród nich znalazł się padding pakietów APK przy użyciu fałszywych danych konfiguracyjnych JSON, szyfrowanie adresów callback C2 z użyciem AES-128-CBC oraz losowanie nazw klas na etapie budowania aplikacji. Takie podejście ogranicza skuteczność prostych metod analizy statycznej i sygnaturowej.
Badacze mapowali infrastrukturę Flying Eagle na podstawie powtarzalnych artefaktów operacyjnych. Pomocne okazały się cechy paneli administracyjnych, charakterystyczne przekierowania HTTP 302, podobne nagłówki bezpieczeństwa, domyślne certyfikaty TLS oraz błędy developerskie obecne w różnych forkach kodu. Tego typu ślady często pozwalają powiązać pozornie odrębne wdrożenia z jednym ekosystemem.
Ważnym elementem działalności Flying Eagle były też kanały w Telegramie służące do sprzedaży, wsparcia technicznego oraz dystrybucji kolejnych modyfikacji. Według ustaleń część podmiotów oferowała poprawione wersje wykradzionego kodu, usługi cash-out i gotowe instrukcje dla kampanii wymierzonych w aplikacje płatnicze.
Na uwagę zasługuje również rozwój następcy określanego jako Night Dragon. Nowa platforma ma rozszerzać funkcje ukrywania aktywności operatora, automatycznego chowania ikony po instalacji oraz dostarczać gotowe nakładki phishingowe dla aplikacji finansowych i portfeli kryptowalutowych.
Konsekwencje / ryzyko
Ryzyko związane z Flying Eagle jest wysokie, ponieważ malware umożliwia faktyczne przejęcie mobilnego centrum tożsamości użytkownika. Smartfon przechowuje dziś dane logowania, wiadomości, kody uwierzytelniające, zdjęcia i historię komunikacji, dlatego jego kompromitacja może prowadzić do wielowymiarowych strat.
Dla użytkowników indywidualnych oznacza to możliwość utraty środków finansowych, przejęcia kont bankowych, wycieku danych osobowych oraz dostępu do prywatnej komunikacji. Szczególnie groźne jest połączenie phishingu nakładkowego z dostępem do SMS-ów, które zwiększa skuteczność obchodzenia uwierzytelniania opartego na jednorazowych kodach.
Dla organizacji zagrożenie ma szerszy wymiar. Zainfekowane urządzenie pracownika może posłużyć jako punkt wyjścia do dalszych oszustw socjotechnicznych, wyłudzeń BEC, naruszeń zasad dostępu warunkowego czy wycieku danych biznesowych. Dodatkowym problemem jest niski próg wykorzystania narzędzia po wycieku kodu źródłowego, co sprzyja szybkiemu namnażaniu się nowych wariantów.
Rekomendacje
Organizacje powinny traktować mobilne RAT-y jako zagrożenie klasy enterprise i włączyć ochronę urządzeń mobilnych do głównego programu bezpieczeństwa. W praktyce warto wdrożyć następujące działania:
- blokować instalację aplikacji spoza oficjalnych sklepów i ograniczać sideloading,
- stosować rozwiązania MDM lub UEM do egzekwowania polityk bezpieczeństwa,
- monitorować integralność urządzeń i listę zainstalowanych aplikacji,
- integrować mobilną telemetrię bezpieczeństwa z systemami SIEM,
- analizować ruch sieciowy pod kątem komunikacji z infrastrukturą C2, anomalii TLS i połączeń WebSocket,
- wykrywać nadużycia usług dostępności Androida oraz żądania nadmiernych uprawnień,
- szkolić użytkowników w rozpoznawaniu aplikacji podszywających się pod instytucje publiczne, banki i operatorów płatności,
- wdrożyć procedury szybkiej izolacji urządzeń podejrzanych o kompromitację,
- preferować metody uwierzytelniania odporne na phishing, takie jak passkeys lub klucze sprzętowe, zamiast kodów SMS tam, gdzie jest to możliwe.
Z perspektywy zespołów SOC i threat intelligence istotne jest korelowanie wskaźników kompromitacji pomiędzy próbkami APK, panelami webowymi i certyfikatami TLS. W przypadku rodzin malware rozwijanych przez wiele podmiotów skuteczniejsze od samych hashy plików bywa wykrywanie wspólnych wzorców infrastrukturalnych i błędów konfiguracyjnych.
Podsumowanie
Flying Eagle pokazuje, że mobilne kampanie malware ewoluują w kierunku dojrzałych ekosystemów usługowych. Połączenie buildera APK, panelu C2, gotowych nakładek phishingowych i kanałów wsparcia tworzy model operacyjny, który ułatwia skalowanie ataków i obniża barierę wejścia dla kolejnych przestępców.
Wyciek kodu źródłowego dodatkowo zwiększył zagrożenie, ponieważ umożliwił rozwój licznych forków oraz projektów następczych, takich jak Night Dragon. Dla obrońców to wyraźny sygnał, że bezpieczeństwo urządzeń mobilnych musi być traktowane na równi z ochroną stacji roboczych i infrastruktury serwerowej.