Sicherheitsanalysten von Hunt.io und NetAskari haben eine neue, weitreichende Malware-Kampagne identifiziert, die sich auf den Android-Remote-Access-Trojaner (RAT) Flying Eagle stützt. Die Experten lokalisierten weltweit 170 aktive Server, die für den Betrieb und die Steuerung der Schadsoftware genutzt werden. Die Verbreitung der Malware erfolgt maßgeblich über den Messengerdienst Telegram, wobei die Angreifer gezielt gefälschte Behörden-Apps einsetzen.
Technische Details und Tarnmechanismen
Die Untersuchung der Infrastruktur ergab, dass die Administratoren der Kampagne verschiedene Methoden zur Verschleierung einsetzen. Von den insgesamt 170 identifizierten Systemen konnten 158 Server über spezifische AdminPro-Seitentitel, HTTPS-Weiterleitungen und Antwortheader aufgespürt werden. Weitere 12 Server wurden durch die Verwendung eines Standard-TLS-Zertifikats identifiziert.
Die Grundlage der Malware bildet ein 388 MB großes Archiv mit der Bezeichnung ‚中国龙.zip‘. Dieses Paket fungiert als umfassendes Toolkit und enthält neben dem eigentlichen Schadcode eine vollständige Server-Umgebung bestehend aus Docker, nginx, PHP und MySQL. Zudem umfasst das Archiv Node.js WebSocket, Android-Build-Tools sowie verschiedene Phishing-Vorlagen und ein Standard-TLS-Zertifikat.
Um die Erkennung durch Sicherheitslösungen zu erschweren, nutzt der Builder der Flying Eagle RAT fortgeschrittene Obfuskierungstechniken. Die Software randomisiert Paket- und Klassennamen und verschlüsselt die URLs für die Befehls- und Kontrollserver (C2) mittels AES-128-CBC. Ein weiteres Merkmal ist die Integration von künstlichem JSON-Padding mit einer Größe zwischen 2,8 und 3,5 MB und niedriger Entropie, was die statistische Analyse des Datenverkehrs erschweren soll. In Sicherheitsanalysen werden Proben der Malware häufig der SpyNote-Familie zugeordnet.
Der beschriebene Remote-Access-Trojaner zeigt, wie gezielt Hacker heute Android-Geräte für Spionage und Datendiebstahl manipulieren. Dieser kostenlose PDF-Ratgeber liefert Ihnen 5 einfache Schutzmaßnahmen, um Ihr Smartphone sofort wirksam gegen solche Zugriffe abzusichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Umfangreiche Spionagefunktionen und finanzielle Motive
Die Fähigkeiten der Flying Eagle RAT sind laut den Forschern weitreichend und auf den Diebstahl sensibler Informationen ausgelegt. Die Schadsoftware ist in der Lage, Zahlungspasswörter und Tastatureingaben zu protokollieren, Bildschirmaufzeichnungen anzufertigen und unbefugt auf die Kamera des infizierten Geräts zuzugreifen. Zudem können Phishing-Overlays über legitime Apps eingeblendet werden, um Nutzer zur Eingabe von Zugangsdaten zu bewegen.
Ein zentrales Element der Kampagne ist die Verknüpfung mit einer gefälschten chinesischen Polizei-App namens ‚公安一网通办‘. Bereits im Juni warnten chinesische Behörden vor einer betrügerischen Applikation, die über die Domain 110gongan[.]com verbreitet wurde.
Die Distribution der modifizierten Versionen der Flying Eagle RAT erfolgt über spezialisierte Telegram-Kanäle wie SQLRCE0 und Yx Technology. Der Kanal Yx Technology warb in diesem Zusammenhang aktiv für sogenannte Cash-out-Dienste, bei denen für die Abwicklung illegal erlangter Gelder Gebühren zwischen 20 und 50 % erhoben wurden.
Dass Kriminelle verstärkt Messengerdienste wie Telegram für die Verteilung von Malware nutzen, unterstreicht die wachsende Bedrohungslage für Mobilnutzer. In diesem Gratis-Report erfahren Sie, wie Sie Ihr Android-System durch die richtigen Sicherheits-Updates vor solchen Trojanern und Malware-Infektionen schützen. Kostenlosen Sicherheits-Report jetzt herunterladen
Kontinuität der Bedrohungslage
Die Akteure hinter der Kampagne scheinen bereits länger aktiv zu sein. Der Kanal SQLRCE0 führte bereits im Juni die separate Night Dragon Android RAT ein. Bei damaligen Analysen wurden zwei Server identifiziert, deren Administrationspanel zu diesem Zeitpunkt 46 aktive Online-Geräte anzeigte. Die aktuelle Entdeckung der 170 Server im Zusammenhang mit Flying Eagle verdeutlicht eine signifikante Skalierung der Angriffsaktivitäten. Experten raten zur besonderen Vorsicht beim Download von Applikationen außerhalb offizieller App-Stores und zur Überprüfung von Berechtigungsanfragen mobiler Anwendungen.
