CHINA / LONDON (IT BOLTWISE) – Der Quellcode eines Android-Remote-Access-Trojaners zirkuliert über kriminelle Telegram-Kanäle. Ermittler haben zugehörige Steuerkomponenten und Zertifikate anhand von Telemetrie auf 170 Internetserver zurückgeführt. Der Baukasten ist auf Datendiebstahl und Remote-Steuerung ausgelegt, einschließlich Screen-Recording, Kamera-Zugriff und Keystroke-Erfassung. Parallel dazu warnen chinesische Stellen vor einer gefälschten App, die gezielt Android-Nutzer anspricht und Konten kompromittieren kann.
Der Android-Remote-Access-Trojaner „Flying Eagle“ ist diesmal nicht nur als fertiges Schadprogramm im Umlauf, sondern als Baukasten in den Fokus geraten: Laut den Nachweisen von Hunt.io und dem unabhängigen Forscher NetAskari zirkuliert der zugehörige Quellcode über kriminelle Telegram-Kanäle. Damit verschiebt sich das Risiko von punktuellen Infektionen hin zu einer schnelleren Skalierung durch neue Operatoren. Auffällig ist auch, dass die Ermittler nicht von „170 betroffenen Geräten“ sprechen, sondern von 170 identifizierten Servern mit passenden Steuer- und Infrastrukturmerkmalen. Diese Unterscheidung ist für die Bewertung wichtig, weil Serverzahlen allein keine verlässliche Aussage über Opferanzahl, erfolgreiche Infektionsraten oder tatsächlich aktive Command-and-Control-Systeme (C2) zulassen.
Technisch beschrieben basiert Flying Eagle auf einem Generator, der für Operatoren eine maßgeschneiderte Schad-App aus einer Vorlage ableitet. In dem von den Forschern beschriebenen Archiv soll ein vollständiges Docker-Setup mit nginx, PHP, MySQL sowie einem Node.js WebSocket-Server enthalten sein. Dazu kommen Android-Build-Tools, Phishing-Templates und ein Standard-Zertifikat, mit dem der Builder signierte APKs erzeugt. Der Panel-Teil erlaubt es, Name, Icon und Locktext zu variieren sowie eine C2-Adresse auszuwählen, bevor aus zwei Templates eine signierte APK entsteht. Entscheidender Hebel für die Verbreitung ist die Tarnung: Der Builder randomisiert Paket- und Klassennamen, verschlüsselt eingebettete C2-URLs mit AES-128-CBC und fügt Low-Entropy-JSON-Padding hinzu, das in Größe und Struktur nach Entwicklerkonfigurationsdaten aussieht.
In den Untersuchungen zur Infrastruktur hat Hunt.io laut Bericht über einen Zeitraum von 30 Tagen Telemetrie nach Fingerprints gesucht, die zu den Flying-Eagle-Komponenten passen. Die Forscher identifizierten zunächst 158 Server über Merkmale wie den Seitentitel einer „AdminPro“-Seite, HTTPS-Redirect-Verhalten und übereinstimmende Response-Header. Weitere 12 Server konnten sie danach über ein Default-Zertifikat zuordnen, das im Flying-Eagle-Paket enthalten sein soll. Insgesamt bewerten sie die Zahl als eher konservativ, weil sie Server ausgeschlossen haben, die zwar ähnlich waren, aber nicht den erwarteten 302-Redirect lieferten. Damit wird klar, warum die reine Serverzahl nicht als Proxy für kompromittierte Endgeräte taugt: Selbst wenn ein Panel erreichbar ist, folgt daraus nicht automatisch eine erfolgreiche Zustellung an Zielgeräte, und umgekehrt können Infektionsketten bei anderen Infrastrukturvarianten stattfinden.
Für den Schadensablauf nennt der Bericht mehrere Funktionsbausteine, die typischerweise auf finanzielle oder datenbasierte Monetarisierung zielen. Dazu gehören das Abgreifen von Payment-Passwörtern und das Erfassen von Tastatureingaben, außerdem Screen-Recording, Kamera-Zugriff und Phishing-Ansagen, die sich auf konkrete Zielkategorien wie Finanz-, Adult-Content- oder staatliche Serviceanwendungen beziehen. Hunt.io beschreibt zudem, dass von ihnen analysierte Samples aus dem Builder als „SpyNote“ erfasst wurden und Android Accessibility Services nutzten, um Privilegien zu erhöhen und Gesten einzuspritzen. Gerade Accessibility-basierte Ausnutzung ist in mobilen Schadprogrammen häufig, weil sie App-übergreifende Eingriffe und automatisierte Interaktionen ermöglicht, selbst wenn das UI-Handling des Systems strikt wirkt.
Parallel zur technischen Rekonstruktion gibt es klare Warnhinweise aus dem chinesischen Behördenumfeld. Laut den Angaben im Bericht haben chinesische Stellen Personen, die die betrügerische Anwendung installiert haben, zur Deinstallation aufgefordert, das Gerät zu prüfen, betroffene Konten zu sichern und Passwörter zu ändern. Zusätzlich wird empfohlen, Zahlungswege einzufrieren, falls Gelder transferiert wurden, und den Vorfall bei der Polizei zu melden. Das nationale Cybersecurity-Warninstrument macht dabei die konkrete Angriffslogik sichtbar: Es nennt ein Verbreitungsumfeld (unter anderem eine Domain, die in den Meldungen als 110gongan[.]com erscheint) und warnt, dass die gefälschte App Zahlungsdaten stehlen und Geräte fernsteuern kann.
Auch die Verbreitungsspur über Telegram wirkt wie ein Multiplikator. Die Forscher beobachteten zwei Kanäle, SQLRCE0 und Yx Technology, die jeweils modifizierte Versionen des Frameworks verteilt haben sollen. In diesem Zusammenhang ist eine Kernaussage jedoch ausdrücklich unbestätigt: In den untersuchten Telegram-Nachrichten heißt es angeblich, eine unbekannte Partei habe Kundensysteme kompromittiert, darunter 189 Flying-Eagle-Server, und Daten aus Datenbanken exfiltriert; laut den Forschern wurde das nicht unabhängig bestätigt. Yx Technology soll daneben Cash-out-Dienstleistungen beworben haben, wobei die Preisgestaltung im Bericht als prozentuale Spanne von 20% bis 50% der Transaktionswerte beschrieben wird. Zudem wird eine mögliche zeitliche und organisatorische Zersplitterung sichtbar: Am 23. Juni 2026 habe SQLRCE0 eine weitere Android-Control-Box namens „Night Dragon“ eingeführt, mit zwei zugehörigen Servern und einem exponierten Panel, das 46 Geräte als online sowie 29 als aktiv verbunden ausweisen soll; die Forscher betonen aber, dass sich nicht sicher klären lässt, ob diese Einträge echte Opfer oder Testdaten darstellen.
Aus Branchensicht ist gerade diese Kombination aus Baukasten, Infrastruktur-Signaturen und parallel laufenden Kampagnen relevant. Denn wenn Operatoren den Generator und die Bedienoberfläche übernehmen können, sinken die Hürden für neue Varianten: Der Bericht beschreibt die Distribution als 388-MB-Archiv („China Dragon“) mit kompletten Container- und Web-Backends sowie einem Panel-Workflow. Für Unternehmen und Security-Teams ergibt sich daraus weniger die Frage „Wie viele Telemetrie-Server existieren?“, sondern „Welche Bausteine sind wiedererkennbar?“: Dazu gehören Panel- und Header-Muster, Zertifikatsartefakte, das spezifische Redirect-Verhalten sowie der Aufbau der signierten APKs nach Builder-Logik. Gleichzeitig macht der Bericht eine wichtige historische Abgrenzung: Night Dragon von 2026 sei nicht dasselbe wie ein als 2011 eingeordnetes China-bezogenes Spionage-Set, sondern finanziell motiviertes Android-Crimeware. Für die Bewertung der Bedrohungslage bedeutet das: Das gleiche Namensmuster kann irreführend sein, entscheidend sind Code- und Infrastrukturüberlappungen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Flying Eagle Android RAT: Code zirkuliert, 170 Server identifiziert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Flying Eagle Android RAT: Code zirkuliert, 170 Server identifiziert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Flying Eagle Android RAT: Code zirkuliert, 170 Server identifiziert« bei Google Deutschland suchen, bei Bing oder Google News!