Flying Eagle trasforma Android in una piattaforma per frodi bancarie

🛡️ Executive Summary

• Flying Eagle combina generazione degli APK, pannello C2 e controllo remoto dei dispositivi in un’unica piattaforma criminale.
• Hunt.io ha individuato almeno 170 server attivi attraverso certificati TLS, fingerprint dei pannelli e infrastrutture concentrate a Hong Kong.
• Il furto del codice sorgente ha prodotto varianti concorrenti e favorito lo sviluppo di Night Dragon, nuovo RAT orientato ai conti bancari cinesi.

Flying Eagle è una piattaforma criminale per Android capace di generare applicazioni malevole, amministrare dispositivi compromessi e distribuire moduli per il furto delle credenziali finanziarie. Una ricerca congiunta di Hunt.io e NetAskari ha ricostruito una rete di almeno 170 server, individuata attraverso certificati TLS, pannelli web e configurazioni comuni. Il framework è emerso dopo l’analisi di una falsa applicazione che imitava un servizio della pubblica sicurezza cinese. Il codice sorgente, sottratto all’inizio del 2026 insieme ai database di quasi 200 clienti, circola ora tra più gruppi criminali, mentre un progetto successore chiamato Night Dragon promette un controllo ancora più diretto dei dispositivi infetti.

Una falsa app della pubblica sicurezza avvia l’indagine

L’attività è stata individuata partendo da un’applicazione Android che imitava un servizio di un Public Security Bureau provinciale cinese. Il file veniva distribuito attraverso domini controllati dagli aggressori e sfruttava nome, grafica e funzione apparente di un servizio governativo per convincere le vittime a installarlo fuori dagli store ufficiali. Un avviso diffuso dai media statali cinesi nel giugno 2026 aveva già segnalato applicazioni fraudolente riconducibili alla stessa infrastruttura. L’analisi dell’APK ha portato a un canale Telegram che distribuiva il codice di Flying Eagle, conosciuto in cinese come Feiying, insieme agli strumenti necessari per costruire nuove applicazioni e amministrare i telefoni compromessi. La campagna dimostra come l’imitazione di servizi pubblici possa offrire una copertura particolarmente efficace per malware mobili che richiedono installazione manuale e permessi invasivi. La stessa logica è alla base di ZeroDayRat, piattaforma mobile chiavi in mano per la sorveglianza di Android e iOS, dove l’operatore acquista un sistema già pronto invece di sviluppare autonomamente l’intera catena.

Il framework genera APK personalizzati e difficili da riconoscere

Il codice distribuito attraverso Telegram occupa circa 388 MB e comprende una distribuzione Docker completa con Nginx, PHP, MySQL, Node.js, Java 11 e Android SDK. Il pannello permette di scegliere nome dell’applicazione, icona, testo dell’esca e indirizzo del server C2, quindi compila e firma automaticamente l’APK partendo da modelli predefiniti. Tra le esche osservate compaiono servizi per adulti, TikTok, applicazioni finanziarie e pagine dedicate a progetti di assistenza pubblica.

Durante la compilazione il package originale viene sostituito con nomi casuali simili a componenti legittimi, mentre classi riconoscibili come RecordPayPassword, LiveKeysStrok, ScreenCaps e CameraCap vengono rinominate con stringhe generate automaticamente. Il builder inserisce inoltre tra 2,8 e 3,5 MB di file JSON strutturati negli asset dell’app, utilizzando dati Base64 che imitano cache di configurazione invece del semplice padding casuale. L’obiettivo è ridurre l’efficacia delle firme statiche e far apparire ogni campione come un’applicazione differente, pur mantenendo le stesse capacità operative.

Accessibility trasforma il telefono in uno strumento di frode

Gli APK generati da Flying Eagle condividono comportamenti riconducibili all’ecosistema SpyNote e abusano dei servizi di accessibilità di Android per ottenere un controllo esteso del dispositivo. Il RAT può registrare i tasti, catturare lo schermo, accedere alla fotocamera, leggere le notifiche, gestire file e simulare gesti attraverso dispatchGesture. Le funzioni più pericolose riguardano però i phishing overlay, schermate sovrapposte alle applicazioni autentiche per sottrarre password e codici di accesso.

L’operatore può preparare moduli dedicati a servizi finanziari, wallet e piattaforme di pagamento, osservando contemporaneamente ciò che appare sullo schermo della vittima. L’abuso di Accessibility permette inoltre di approvare finestre, nascondere l’app e ostacolare la disinstallazione. Flying Eagle non si limita quindi alla raccolta automatica dei dati: offre un ambiente nel quale l’attaccante può interagire con il telefono in tempo reale e adattare la frode alle reazioni dell’utente. Il modello è vicino a quello di BTMOB, RAT Android progettato per trasformare lo smartphone in una backdoor persistente, famiglia trovata anche negli archivi collegati all’infrastruttura di Flying Eagle.

Hunt.io individua almeno 170 server attivi

I ricercatori hanno identificato l’infrastruttura cercando pannelli con titolo temporaneo AdminPro, redirect HTTP coerenti, header HSTS e certificati TLS condivisi. Una prima ricerca ha restituito 158 server unici osservati nell’arco di trenta giorni; altri dodici sistemi sono emersi dal certificato predefinito incluso nel pacchetto, portando il totale a 170. Il numero è considerato prudenziale perché esclude le installazioni che hanno modificato alcuni elementi del pannello o non restituiscono esattamente lo stesso redirect.

La maggior parte dei server è concentrata presso provider di Hong Kong, con ulteriori presenze negli Stati Uniti, nella Cina continentale, in Finlandia, Malaysia, Canada e Giappone. Alcuni pannelli adottavano marchi personalizzati come Flying Eagle, Pepsi Cola e Ali Technology, segnale della presenza di clienti differenti che utilizzano la stessa base tecnologica. La concentrazione geografica non prova automaticamente l’identità degli operatori, ma coincide con i canali Telegram in lingua cinese e con l’orientamento delle esche osservate. L’estensione della rete rende Flying Eagle comparabile alle piattaforme criminali scalabili descritte con PlayPraetor, RAT Android distribuito da attori cinesi attraverso numerosi pannelli e affiliati.

Il furto del codice frammenta l’ecosistema criminale

Secondo i messaggi pubblicati nel canale Telegram SQLRCE0, il codice di Flying Eagle sarebbe stato sottratto all’inizio di febbraio 2026 insieme all’accesso a 189 server e ai relativi database. Il gruppo che ha ottenuto il materiale ha iniziato a distribuire versioni modificate, correggendo problemi di connessione, stabilità WebSocket e resistenza alla disinstallazione. Una build “riparata” veniva offerta per 2.000 USDT, accompagnata dalla promessa che eventuali backdoor presenti nel codice originale fossero state eliminate.

Un secondo canale, Yx Technology, ha distribuito gratuitamente una versione Docker chiamata Chinese Dragon e pubblicato istruzioni per svuotare conti Alipay e WeChat, offrendo anche servizi di cash-out con commissioni comprese tra il 20 e il 50%. Nessuno dei due canali sembra rappresentare lo sviluppatore originario: entrambi sfruttano una base trafugata e ormai diffusa tra gruppi differenti. La fuga del sorgente ha quindi trasformato un singolo prodotto criminale in un ecosistema frammentato di fork, rivenditori, assistenza tecnica e operatori finanziari. Questo processo riduce il costo d’ingresso e aumenta il numero di aggressori capaci di lanciare campagne Android sofisticate senza possedere competenze di sviluppo autonome.

Night Dragon nasce come successore orientato alle frodi finanziarie

Il 23 giugno 2026 il canale SQLRCE0 ha presentato Night Dragon, piattaforma descritta come un progetto separato e non come una semplice modifica di Flying Eagle. Il nuovo RAT promette compatibilità con tutti i dispositivi, cattura delle password di Alipay, WeChat e applicazioni bancarie, occultamento automatico dell’icona e una modalità black screen che mostra un falso aggiornamento mentre l’operatore controlla il telefono. Hunt.io ha individuato soltanto due server con pannelli Night Dragon, entrambi ospitati a Hong Kong, ma uno di essi mostrava 46 dispositivi registrati e 29 online. Non è stato possibile stabilire se i dati rappresentassero vittime reali oppure contenuti dimostrativi. Il pannello offre visualizzazione live dello schermo, accesso a SMS e fotografie, registrazione audio, controllo della fotocamera, gestione dei file e overlay preconfigurati per ICBC, China Construction Bank, Agricultural Bank, TokenPocket e imToken. La versione 2 risultava già in sviluppo a luglio, segnale che gli operatori stanno tentando di superare la dipendenza dal codice trafugato e costruire una piattaforma proprietaria. Le capacità si avvicinano a quelle di RedHook, RAT Android capace di controllare il telefono senza richiedere accesso root, ma Night Dragon integra direttamente funzioni e interfacce pensate per la frode finanziaria cinese.

La difesa deve bloccare APK laterali e abusi di Accessibility

La ricerca tecnica di Hunt.io su Flying Eagle e Night Dragon mostra che il rischio non dipende da un singolo hash o dominio. Ogni cliente può generare package, nomi, icone e C2 differenti, mentre il codice circola ormai in più versioni. La difesa deve quindi impedire l’installazione di APK provenienti da browser, messaggistica e siti non autorizzati, controllare le applicazioni che richiedono Accessibility senza una funzione legittima e rilevare connessioni WebSocket o Firebase provenienti da software appena installato. Nei dispositivi aziendali, le piattaforme MDM dovrebbero bloccare il sideloading, limitare le origini consentite e impedire agli utenti di abilitare servizi di accessibilità non approvati. La presenza di overlay su applicazioni bancarie, icone scomparse, consumo anomalo di batteria o richieste ripetute di permessi deve portare all’isolamento del telefono e alla rotazione delle credenziali utilizzate sul dispositivo. Flying Eagle non è soltanto un RAT, ma una fabbrica di malware mobile che unisce sviluppo, distribuzione e controllo delle vittime; Night Dragon rappresenta il tentativo di trasformare questa esperienza in una nuova piattaforma commerciale indipendente.