Código-fonte do malware Android Flying Eagle vaza e pesquisadores identificam 170 servidores ligados à operação

O código-fonte do framework malicioso Flying Eagle, utilizado para criar trojans de acesso remoto (RATs) para Android, está circulando em canais criminosos no Telegram. Pesquisadores da Hunt.io e o pesquisador independente NetAskari identificaram 170 servidores na internet com características compatíveis com a infraestrutura da ferramenta, embora o número não represente necessariamente vítimas, dispositivos infectados ou servidores ativos de comando e controle (C2).

As investigações associam o Flying Eagle a um aplicativo falso do serviço chinês "公安一网通办" (Plataforma Integrada de Serviços de Segurança Pública), usado para enganar usuários de Android na China. O malware é capaz de capturar senhas de pagamento, registrar tudo o que é digitado, gravar a tela, acessar a câmera e exibir páginas falsas de autenticação para aplicativos financeiros, conteúdos adultos e serviços governamentais.

Segundo a Hunt.io, a análise de telemetria dos últimos 30 dias identificou 158 servidores por meio da página administrativa AdminPro, comportamento de redirecionamento HTTPS e cabeçalhos HTTP semelhantes. Outros 12 servidores foram encontrados utilizando um certificado TLS padrão incluído no próprio framework. Os pesquisadores acreditam que esse número seja conservador, já que servidores com características semelhantes, mas sem o redirecionamento esperado, ficaram de fora do levantamento.

As autoridades chinesas emitiram um alerta recomendando que qualquer pessoa que tenha instalado o aplicativo fraudulento o remova imediatamente, realize uma varredura de segurança no dispositivo, altere senhas potencialmente comprometidas, bloqueie canais de pagamento caso tenha ocorrido movimentação financeira e comunique o caso à polícia.

O Centro Nacional de Notificação de Cibersegurança da China já havia alertado, em 18 de junho, que o aplicativo falso era distribuído pelo domínio 110gongan[.]com, associado ao endereço IP 207.56.30[.]188, e podia roubar dados financeiros e assumir o controle remoto dos dispositivos.

Framework oferece ambiente completo para criação do malware

A pesquisa, publicada em 28 de julho, mostra que o Flying Eagle era distribuído em um arquivo de 388 MB chamado 中国龙.zip ("Chinese Dragon"), contendo toda a infraestrutura necessária para implantação da operação criminosa.

O pacote inclui ambiente Docker, servidores Nginx, PHP, MySQL, servidor WebSocket em Node.js, ferramentas para compilação de aplicativos Android, modelos de páginas de phishing e um certificado TLS padrão.

O painel administrativo permite que o operador personalize o nome do aplicativo, o ícone, o texto utilizado como isca e o endereço do servidor C2, gerando automaticamente um APK assinado a partir de dois modelos disponíveis.

Para dificultar a detecção, o construtor altera automaticamente nomes de pacotes e classes do aplicativo, criptografa os endereços do servidor de comando utilizando AES-128-CBC e adiciona entre 2,8 MB e 3,5 MB de dados JSON com baixa entropia para simular arquivos legítimos de configuração de SDKs.

Embora o Flying Eagle seja responsável pela criação e gerenciamento da campanha, a Hunt.io identificou que as amostras geradas pelo framework eram detectadas como SpyNote, utilizando os serviços de acessibilidade do Android para elevar privilégios e executar comandos por gestos no dispositivo.

Telegram impulsiona distribuição da ferramenta

Os pesquisadores identificaram dois canais no Telegram, SQLRCE0 e Yx Technology, distribuindo versões modificadas do framework.

Mensagens publicadas nesses canais afirmam que uma infraestrutura contendo 189 servidores Flying Eagle teria sido comprometida e que bancos de dados foram roubados. No entanto, essas alegações não puderam ser verificadas de forma independente.

O canal Yx Technology também anunciava serviços de lavagem e saque dos valores obtidos nas fraudes, cobrando comissões entre 20% e 50% sobre cada transação.

A Hunt.io ressalta que, embora tanto o vazamento do código quanto a identificação dos 170 servidores estejam documentados, não há evidências que estabeleçam uma relação direta entre esses dois eventos.

Novo malware também foi identificado

Os pesquisadores também observaram que o canal SQLRCE0 passou a distribuir, em junho de 2026, outro framework para Android chamado Night Dragon.

A investigação encontrou dois servidores associados à nova ferramenta e um painel administrativo exposto que listava 46 dispositivos online, dos quais 29 apareciam como ativos. Ainda assim, não foi possível confirmar se esses registros correspondiam a vítimas reais ou apenas a ambientes de teste.

Segundo a Hunt.io, o Night Dragon parece ser um projeto independente, com uma segunda versão em desenvolvimento desde julho. Os pesquisadores também destacam que esse malware não possui relação com a campanha de espionagem Night Dragon, descoberta pela McAfee em 2011. A versão atual é voltada para crimes financeiros contra usuários de Android.