CHINA / LONDON (IT BOLTWISE) – Sicherheitsanalysten haben das Android-„Flying Eagle“-Ökosystem entdeckt, das als Builder für Remote Access Trojans (RAT) fungiert und im MaaS-Modell verkauft wird. Die Infrastruktur umfasst nach aktuellen Ermittlungen 170 Server, darunter Systeme, die über Weiterleitungen und Admin-Seitentitel identifiziert wurden. Als Verbreitungsweg dient unter anderem ein Docker-Deployment mit umfangreichem Paketarchiv. Auf infizierten Geräten missbraucht die SpyNote-Variante Accessibility-Services, um Passwörter, Tastatureingaben und sogar den Kamerazugriff abzugreifen.
Das „Flying Eagle“-Ökosystem zeigt, wie stark sich Android-Angriffe inzwischen in Richtung Plattformisierung bewegen: Statt einzelnen Schadcode-Würmern dominieren Builder-Komponenten, die andere Angreifer schnell einsetzen können. Laut den Untersuchungen arbeiten die Betreiber mit einem Malware-as-a-Service-Ansatz (MaaS), bei dem der Builder als Grundlage dient, um Remote Access Trojans (RAT) zu konfigurieren und auszurollen. Besonders auffällig ist, dass die Kampagne nach aktuellem Kenntnisstand vor allem Nutzer von Android-Endgeräten im chinesischen Raum adressiert und dabei eine technisch anspruchsvolle Infrastruktur aufbaut, die nicht nur aus Schadsoftware, sondern aus mehreren Schichten Betriebslogik besteht.
Im Kern liefern die Angreifer den Builder über spezialisierte Telegram-Kanäle aus, darunter SQLRCE0 und Yx Technology. Der Flying-Eagle-Builder wird als Docker-Deployment bereitgestellt, was für Kriminelle in der Praxis gleich zwei Vorteile liefert: Erstens lässt sich eine reproduzierbare Laufzeitumgebung schnell bereitstellen, zweitens können Konfigurationen und Abhängigkeiten leichter skaliert werden, ohne dass jeder Betreiber alles von Grund auf neu einrichten muss. Das zugehörige Quellcode-Archiv trägt die Bezeichnung „???.zip“ und umfasst 388 MB. Neben Docker-Konfigurationen finden sich darin unter anderem nginx, PHP, MySQL und Node.js WebSocket-Komponenten – ein Hinweis darauf, dass der Dienst nicht nur eine ausführbare Malware liefert, sondern auch Server-seitige Bausteine für Kommunikation, Steuerung und Web-Frontends enthält. Ergänzend kommen Android-Build-Tools, fertige Phishing-Vorlagen sowie TLS-Zertifikate hinzu, womit die Angreifer die Angriffs-Lieferkette deutlich verkürzen.
Technisch setzen die Betreiber zudem auf Verschleierung, die auf typische Erkennungsroutinen zielt. Der Builder kann Paket- und Klassennamen randomisieren, wodurch statische Signaturen und wiederkehrende Artefakte schwerer greifen. Für die Kommunikation mit dem Command-and-Control-Server (C2) wird AES-128-CBC eingesetzt, wodurch die Inhalte im Transit zusätzlich verschleiert werden. Ein weiteres Detail betrifft JSON-Padding in Größenordnungen von 2,8 bis 3,5 MB: Das Hinzufügen bedeutungsloser Daten verändert die Dateistruktur, sodass signaturbasierte Erkennung und Mustervergleiche weniger zuverlässig funktionieren. Solche Maßnahmen passen zu einem Trend, bei dem Entwickler moderner Malware weniger Zeit in „einmalige“ Exploits investieren und stärker in modulare, schwer untersuchbare Infrastruktur.
Die Größenordnung der Kampagne wird durch die identifizierte Infrastruktur greifbar: Im Zuge der Ermittlungen konnten insgesamt 170 Server mit dem Flying-Eagle-Netzwerk verknüpft werden. Die Zuordnung erfolgte den Angaben zufolge unter anderem über die Analyse von AdminPro-Seitentiteln, HTTPS-Weiterleitungen und Antwort-Headern bei 158 Systemen; zwölf weitere Server wurden über Standardzertifikate identifiziert. Als typischer Einstieg in die Endgeräte nennen die Untersuchungen täuschend echt wirkende Applikationen. Ein konkretes Beispiel ist eine gefälschte Version einer chinesischen Regierungs-App (Name in der Quelle nicht vollständig ausgeschrieben), die über die Domain 110gongan[.]com verteilt wird und einer spezifischen IP-Adresse (207.56.30[.]188) zugeordnet ist. In diesem Umfeld ist auch die Funktion der Builder-Logik wichtig: Wer die Verteilungskette kontrolliert, kann Payloads, Phishing-Seiten und Server-Struktur enger abstimmen und damit die Erfolgsquote erhöhen.
Für die Schadfunktionen wird die technologische Basis als SpyNote beschrieben. Dabei missbraucht das Programm die Barrierefreiheitsdienste (Accessibility Services) von Android, um weitreichende Berechtigungen zu erhalten. Aus Sicht der Verteidigung ist das ein zentrales Thema: Accessibility-Berechtigungen sind für Nutzer zwar konzipiert, um Interaktionen mit dem System zu erleichtern, bieten Angreifern aber genau die Hebel, um sensiblen Content systemweit abzugreifen. Zu den Fähigkeiten zählen das Auslesen von Zahlungspasswörtern und Tastatureingaben, die Aufzeichnung des Bildschirminhalts sowie der Zugriff auf die Kamera. Zusätzlich zielen die Phishing-Module gezielt auf Anwendungen aus den Bereichen Finanzen und Behörden sowie auf Portale mit Inhalten für Erwachsene. Damit wird klar, dass das Ökosystem nicht bei der reinen Ausführung stehen bleibt, sondern gleich die Kombination aus Credential-Abgriff, Content-Capture und thematisch passendem Social-Engineering integriert.
Ergänzend berichten die Analysten, dass Ende Juni eine weitere Variante namens „Night Dragon“ über denselben Telegram-Kanal eingeführt wurde. Erste Analysen deuten auf aktive Nutzung hin: Bei zwei identifizierten Servern waren 46 Geräte registriert, davon wurden 29 als aktiv gemeldet. Zugleich wird betont, dass Night Dragon als unabhängig eingeordnete, finanziell motivierte Crimeware gilt und keine Verbindung zu einer gleichnamigen Cyberspionage-Kampagne aus dem Jahr 2011 haben soll. Für Unternehmen und Security-Teams ergibt sich daraus vor allem eine operative Konsequenz: Wenn Malware-Betreiber Builder und Infrastruktur modular aufbauen, wird „einmaliges Blocking“ weniger wirksam; stattdessen brauchen Betreiber von Android-Flotten und mobile security Verantwortliche konsequente Härtung entlang des gesamten Gerätelebenszyklus.
Praktisch heißt das, den Basisschutz nicht als Kür zu behandeln. Updates schließen regelmäßig genau jene Lücken, die Accessibility-ähnliche Berechtigungswege erst effektiv ausnutzbar machen, etwa durch Schwachstellen in Interaktionslogik oder App-Validierung. Ebenso wichtig ist es, die Berechtigungen von Apps im Blick zu behalten: Gerade bei Accessibility Services sollte die Erlaubnis granular geprüft und restriktiv vergeben werden, denn sie sind häufig das Bindeglied zwischen scheinbar harmloser App und weitreichenden Überwachungsfunktionen. Im Kontext solcher MaaS-getriebener RAT-Builder wird Mobil-Security damit stärker zu einer Disziplin aus Betrieb, Berechtigungsmanagement und Incident-Readiness – weniger zu einer einmaligen technischen Maßnahme.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Flying Eagle: Android-RAT-Builder per MaaS mit 170 Servern entdeckt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Flying Eagle: Android-RAT-Builder per MaaS mit 170 Servern entdeckt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Flying Eagle: Android-RAT-Builder per MaaS mit 170 Servern entdeckt« bei Google Deutschland suchen, bei Bing oder Google News!