Afirmações de cybercrime relacionadas ao framework apontam para construção de APKs maliciosos, sequestro de serviços de acessibilidade e roubo de credenciais financeiras em dispositivos móveis.
| Componente | Framework de acesso remoto (RAT) para Android chamado Flying Eagle, templates de phishing e um segundo kit identificado como Night Dragon. |
| Vetor | Distribuição de código-fonte em canais do Telegram, criação de应用 fraudulentas e exploração de serviços de acessibilidade do Android para injeção de gestos e escalada de privilégios. |
| Impacto | Captura de senhas de pagamento, registro de teclas, acesso à câmera, gravação de tela e controle remoto do dispositivo comprometido. |
| Prioridade | Monitoramento de telemetria de rede em busca de painéis de administração maliciosos, inspeção de pacotes APK suspeitos contenham configurações JSON de baixa entropia e reforço nas políticas de acessibilidade de dispositivos móveis corporativos. |
| Artefatos | Arquivo 中国龙.zip (388 MB), painel de administração identificado pela página AdminPro, redirecionamentos HTTP 302, certificado TLS padrão embutido e URLs C2 ofuscadas com AES-128-CBC. |
| Mitigação | Bloqueio de domínios de phishing conhecidos como 110gongan[.]com, monitoramento do tráfego para servidores C2 suspeitos, remoção de aplicativos não autorizados e alertas sobre tentativas de engenharia social imitando serviços governamentais. |
A análise contínua do ecossistema de ameaças voltado para a plataforma móvel Android revelou a circulação ativa do código-fonte de um framework de acesso remoto (RAT) identificado como Flying Eagle. Pesquisadores de inteligência cibernética acompanharam a distribuição deste kit de ferramentas em canais clandestinos de comunicação utilizados por criminosos. A investigação aponta que a infraestrutura técnica do Flying Eagle foi implantada em múltiplos servidores, permitindo aOperadores configurarem campanhas de phishing sofisticadas, construírem pacotes de aplicativos maliciosos (APK) e centralizarem o roubo de dados sensíveis das vítimas, com um foco predominante em usuários localizados no território chinês, embora as técnicas sejam aplicáveis globalmente.
O vazamento do código original habilita uma variedade de atores maliciosos a adaptarem e implementarem suas próprias instâncias de servidores de comando e controle (C2), eliminando a barreira técnica de desenvolvimento de malware complexo do zero. O framework fornece um ambiente completo de implantação e um construtor de payload automatizado. A ameaça é particularmente grave devido à sua capacidade de interagir profundamente com funções críticas do sistema operacional mobile, resultando em comprometimento total do dispositivo, roubo de credenciais financeiras, captura de áudio e vídeo, e monitoramento contínuo das atividades do usuário através de técnicas de injeção de interface mobile.
O fluxo de ataque começa nas instâncias do código malicioso disponíveis para construção. O Flying Eagle é distribuído como um arquivo compactado que contém todo o ambiente necessário para a operação, incluindo serviços web veterANS, banco de dados e compiladores voltados para a plataforma Android. Um operador malicioso utiliza este ambiente para gerar um APK personalizado, definindo parâmetros técnicos como o nome do aplicativo a ser exibido para a vítima, ícone, texto de isca e o endereço de comunicação para a sua própria rede de comando e controle (C2). Durante o processo de geração do pacote malicioso, o kit automatiza a ofuscação de código fonte e ocultação de infraestrutura, randomizando nomes de classes e pacotes de software.
Para dificultar a análise estatística e a extração estática deUrls pela defesa cibernética, as URLs de comunicação C2 embutidas no aplicativo são criptografadas utilizando o algoritmo AES-128-CBC. Além disso, o payload final recebe um acréscimo aleatório, variando entre 2,8 e 3,5 megabytes de dados estruturados em formato JSON, mas com baixa entropia técnica. Este volume anormal de dados é projetado especificamente para imitar arquivos de configuração de legitimateiros kits de desenvolvimento de software (SDK), tentando iludir varredores sandbox e ferramentas de detecção de anomalias. Uma vez instalado no dispositivo móvel após um ataque de phishing bem-sucedido, o malware age em segundo plano, solicitando permissões críticas para Expandir seu controle sobre o hardware e se comunicar com o servidor de atacantes através de websockets.
A análise técnico-comportamental do Flying Eagle demonstrou que amostras construídas por este kit operam de forma semelhante à variante de spyware conhecida comercialmente como SpyNote, uma família já consolidada no cenário global de ameaças móveis. O mecanismo central de abuso do sistema reside na exploração dos serviços de acessibilidade nativos do sistema operacional. Quando o usuário também concede essas permissões de vida independente, durante o install ou primeiro acesso, o malware obtém privilégios elevados que bypassam as proteções convencionais de isolamento e sandboxing do Android. Isso permite que a ameaça execute injeção de gestos na tela, automatizando cliques em janelas de autenticação e aprovações de transações, e capturando dados de entrada e sensíveis do usuário, como senhas de pagamento.
Historicamente, os investigadores associaram a infraestrutura do Flying Eagle a uma campanha de ataque sociotécnica que falsificava uma aplicação governamental de utilidade pública para a população local. A instalação e o aceitemento de permissões fraudulentas comprometem o dispositivo e expõem não apenas o usuário final, mas também colocam em risco contas corporativas e transações financeiras acessíveis a partir do aparelho.
Adicionalmente, o grupo de pesquisadores responsáveis pela descoberta também rastreou a promoção de um segundo kits de malware voltado para o sistema Android, nomeado de Night Dragon. Identificado de forma independente no mesmo ecossistema de divulgação ilegal, o Night Dragon constitui um modelo distinto de ferramenta de controle remoto, focado no mercado de ameaças financeiras e não relacionado a campanhas de espionagem estatal mais antigas, apesar de homônimo. Foram encontrados servidores operando com este painel listando dezenas de dispositivos com conexões ativas, realçando o ritmo acelerado no desenvolvimento de ferramentas de crime eletrônico na atualidade.
As equipes de operação de segurança cibernética e inteligência de ameaças devem focar inicialmente em varreduras passivas de infraestrutura de internet e na inspeção de tráfego de rede visando identificar servidores de comando e controle associados ao ecossistema Flying Eagle e variantes. O rastreamento ativo de telemetria focado em padrões de rede e respostas de servidores web permite fazer a completa desmobilização de ataques na fase inicial. O uso de técnicas como varredura de domínios, análise de certificados TLS/SSL e verificação de cabeçalhos HTTP personalizadas é fundamental para o bloqueio e descobertas proativas destas redes criminosas.
- Inspeção de servidores web internos ou públicos que apresentem páginas de administração intituladas
AdminProe redirecionem conexões HTTP para portas HTTPS padrões através de respostas no formato 302. - Monitoramento ativo da presença de certificados digitais SSL/TLS padrões, empacotados incorretamente no kit do atacante, analisando o domínio e a entidade emissora para identificação rápida de novas instâncias.
- Análise de tráfego de saída buscando requisições web destinadas a servidores rodando serviços de comunicação em tempo real via WebSockets com formato estranho de tráfego encryptado enviado do aparelho celular.
- Filtro de pacotes Android (APK) volumosos, com grande volume de dados inerte anexado e que requisitem em sua instalação inicial o acesso prematuro e direto a serviços de Acessibilidade, Câmera e sobrescrita de outros aplicativos.
O combate à operacionalidade do Flying Eagle e modelos similares exige um esforço colaborativo entre a证明了 detecção técnica e protocols de resposta a incidentes cibernéticos com foco no sistema de origem, alertando os usuários para evitar o sideloading de software suspeito, especialmente aqueles não sancionados pelas lojas oficiais. Governos e órgãos públicos têm recomendado veementemente que usuários que instalem acidentalmente tais ferramentas removam imediatamente o programa, efetuem o escaneamento completo dos dispositivos móveis, alterem credenciais utilizadas no período de risco bloqueiem temporariamente canais de pagamento para evitar incidência de fraudes financeiras e registrem a ocorrência nos canais policiais competentes para análise forense.
- Implementação de listas de bloqueio de rede (blacklist) e mensagens de alerta dentro dos filtros DNS corporativos para domínios de host conhecidos e ativos hospedando a infraestrutura de download de isca, tal como evidências históricas do domínio
110gongan[.]com, que evidenciava a falsificação da imagem institucional pública. - Reforço das políticas de segurança de dispositivos móveis através de soluções de gerenciamento de dispositivos (MDM/UEM) que restrinjam automaticamente a instalação de pacotes de software assinados digitalmente com chaves não confiáveis e fora do escopo das lojas oficiais do sistema operacional.
- Monitoramento estrito do comportamento do endpoint móvel corporativo, assegurando que os alertas críticos de acesso baseado em permissões invasivas de acessibilidade sejam gerados, exigindo dupla autenticação de administrador antes do aceite por parte do utilizador.
- Ações de conscientização integrada em campanhas anti-phishing detalhando as dinâmicas de abuso de marca, tendo em vista o elevado grau de automatização para o roubo de duas vias de autenticação financeira baseada em interface do usuário.
0 Comentários