Código-fonte do malware Android Flying Eagle vaza e expõe rede com 170 servidores suspeitos
O vazamento do código-fonte do framework malicioso Flying Eagle, usado para criar trojans de acesso remoto (RATs) voltados para Android, abriu uma nova frente de preocupação para especialistas em segurança digital. O pacote, que antes circulava de forma mais restrita entre cibercriminosos, agora está sendo compartilhado em canais privados no Telegram, facilitando o acesso de criminosos menos experientes a uma ferramenta pronta para ataques sofisticados.
Pesquisadores da Hunt.io, em parceria com o analista independente conhecido como NetAskari, mapearam pelo menos 170 servidores na internet com características compatíveis com a infraestrutura do Flying Eagle. Esses servidores apresentam padrões técnicos semelhantes aos usados pelo framework, mas o número não pode ser interpretado diretamente como a quantidade de vítimas, de dispositivos infectados ou de servidores de comando e controle (C2) efetivamente em operação. Trata-se de uma estimativa mínima da dimensão da infraestrutura potencialmente envolvida.
Ligação com aplicativo falso de serviço público chinês
A investigação conecta o uso do Flying Eagle a um aplicativo Android fraudulento que imitava o serviço chinês “公安一网通办” (Plataforma Integrada de Serviços de Segurança Pública). Esse app falso era apresentado como uma ferramenta oficial, voltada para cidadãos na China, o que aumentava muito a sua credibilidade e favorecia a instalação em massa por usuários desavisados.
Após a infecção, o malware oferecia ao operador amplo controle sobre o dispositivo. O Flying Eagle é capaz de capturar senhas de pagamento, registrar todas as teclas digitadas (keylogging), gravar a tela do celular, ativar e acessar a câmera remotamente e exibir páginas falsas de autenticação. Essas páginas imitam aplicativos financeiros, serviços adultos e até plataformas governamentais, com o objetivo de roubar credenciais, dados bancários e outras informações sensíveis.
Como os servidores foram identificados
De acordo com a Hunt.io, a análise de telemetria realizada ao longo de 30 dias permitiu identificar 158 servidores relacionados ao Flying Eagle. A correlação foi feita com base na presença da página administrativa AdminPro, em padrões específicos de redirecionamento HTTPS e em cabeçalhos HTTP com características muito similares.
Além desses, outros 12 servidores foram mapeados por compartilharem um mesmo certificado TLS padrão que já vinha incluído no framework. Esse certificado funciona como uma espécie de “assinatura técnica” que ajuda a conectar diferentes componentes da infraestrutura criminosa.
Os pesquisadores ressaltam que o número real de servidores pode ser significativamente maior. Sistemas que apresentavam sinais técnicos parecidos, mas que não exibiam o redirecionamento esperado, ficaram de fora do levantamento para evitar falsos positivos. Assim, os 170 identificados devem ser encarados como um ponto de partida, e não como o limite máximo da operação.
Resposta das autoridades chinesas
Diante da gravidade do caso, autoridades de segurança na China emitiram alertas oficiais orientando a população. Usuários que tenham instalado o aplicativo fraudulento foram instruídos a removê-lo imediatamente, fazer uma varredura de segurança completa no dispositivo, alterar todas as senhas que possam ter sido comprometidas e bloquear canais de pagamento caso tenham percebido transações suspeitas ou não autorizadas. Também foi recomendado que as vítimas denunciem o incidente à polícia local.
O Centro Nacional de Notificação de Cibersegurança da China já havia alertado, em 18 de junho, que o aplicativo falso estava sendo distribuído por meio de um domínio malicioso, associado a um endereço IP específico, e que era capaz de roubar dados financeiros e assumir o controle remoto total dos smartphones infectados. Esse controle inclui a execução de comandos, instalação de outros malwares e manipulação de aplicativos legítimos instalados no aparelho.
Um framework completo para montar operações criminosas
O estudo publicado em 28 de julho mostra que o Flying Eagle era comercializado e distribuído em um arquivo compactado de 388 MB chamado 中国龙.zip (“Chinese Dragon”). Diferentemente de malwares isolados, o pacote trazia um ecossistema completo, pronto para montar uma operação criminosa praticamente do zero.
Dentro do arquivo, os criminosos encontravam um ambiente Docker pré-configurado, servidores Nginx, PHP, MySQL, um servidor WebSocket em Node.js, além de ferramentas para compilar aplicativos Android maliciosos. O pacote também oferecia modelos prontos de páginas de phishing e um certificado TLS padrão, permitindo que o operador levantasse rapidamente sua infraestrutura de C2, painel administrativo e páginas falsas de captura de credenciais.
O painel de administração se destaca pela facilidade de uso: o operador pode escolher o nome do aplicativo, o ícone, o texto de isca que será mostrado ao usuário e o endereço do servidor de comando e controle. A partir dessas configurações, o sistema gera automaticamente um arquivo APK assinado, com base em dois modelos de app disponíveis. Isso reduz drasticamente a barreira técnica para que golpistas com pouco conhecimento programem sua própria campanha.
Técnicas para burlar detecção
Para dificultar a detecção por antivírus e sistemas de segurança, o construtor do Flying Eagle aplica uma série de técnicas de ofuscação. Ele modifica automaticamente nomes de pacotes e classes dentro do aplicativo, tornando mais complexa a criação de assinaturas estáticas por soluções de análise.
Além disso, os endereços dos servidores de comando são criptografados usando AES-128-CBC, o que impede que essas informações apareçam em texto puro dentro do APK. Outra tática é a inclusão de entre 2,8 MB e 3,5 MB de dados JSON de baixa entropia, que simulam arquivos legítimos de configuração de SDKs populares. Esse “enchimento” ajuda o malware a se camuflar em meio a arquivos aparentemente comuns em apps Android.
Mesmo com essas técnicas, a Hunt.io identificou que muitas amostras produzidas pelo framework eram detectadas sob a família SpyNote. Assim como esse trojan conhecido, o Flying Eagle aproveita os serviços de acessibilidade do Android para escalar privilégios, automatizar gestos e interações na interface, e executar comandos sem que o usuário perceba.
Papel do Telegram na disseminação do Flying Eagle
Os pesquisadores também encontraram dois canais no Telegram que desempenharam papel importante na disseminação e na evolução do framework: SQLRCE0 e Yx Technology. Nesses espaços, versões modificadas do Flying Eagle eram compartilhadas, permitindo que diferentes grupos de criminosos adaptassem o código às próprias necessidades e estratégias de fraude.
Mensagens divulgadas nesses canais relatavam que uma infraestrutura com 189 servidores ligados ao Flying Eagle teria sido comprometida e que bancos de dados contendo informações sensíveis teriam sido roubados. Não há, porém, verificação independente que confirme esses relatos. É possível que parte dessas mensagens tenha sido usada como marketing ou intimidação entre grupos rivais.
O canal Yx Technology ia além da simples difusão do malware: ali também eram anunciados “serviços” de lavagem e saque dos valores obtidos com as fraudes. As comissões cobradas, de 20% a 50% por transação, mostram como a cadeia criminosa se organiza em etapas, incluindo quem desenvolve o malware, quem opera a infraestrutura e quem converte o dinheiro roubado em recursos utilizáveis.
A Hunt.io enfatiza que, embora tenham sido documentados tanto o vazamento do código do Flying Eagle quanto a descoberta dos 170 servidores suspeitos, não há evidências diretas de que um evento tenha causado o outro. O vazamento do código pode ter ampliado o acesso à ferramenta, mas a relação cronológica e causal entre essas descobertas ainda não está totalmente esclarecida.
Surgimento de um novo framework: Night Dragon
Além do Flying Eagle, os analistas detectaram que, a partir de junho de 2026, o canal SQLRCE0 passou a distribuir outro framework malicioso para Android, batizado de Night Dragon. A semelhança na forma de divulgação sugere que há um ecossistema ativo e em expansão de ferramentas prontas para ataques contra dispositivos móveis.
A investigação localizou dois servidores associados ao Night Dragon, bem como um painel administrativo exposto publicamente. Esse painel listava 46 dispositivos online, dos quais 29 eram marcados como ativos. Apesar disso, ainda não foi possível confirmar se esses dispositivos correspondiam a vítimas reais ou se se tratavam apenas de ambientes de teste mantidos pelos próprios operadores ou compradores em potencial.
Segundo a Hunt.io, o Night Dragon aparenta ser um projeto independente, não uma simples evolução do Flying Eagle. Uma segunda versão da ferramenta estaria em desenvolvimento desde julho, indicando que os autores seguem investindo em novos recursos e capacidades. Os pesquisadores também deixam claro que esse framework não tem relação com a conhecida campanha de espionagem corporativa batizada de “Night Dragon”, revelada anos atrás, apesar da coincidência de nomes.
Por que o vazamento do código-fonte é tão preocupante
O acesso público – ainda que restrito a círculos criminosos – ao código-fonte do Flying Eagle aumenta o risco de proliferação de variantes. Com o material em mãos, diferentes grupos podem modificar, adaptar e reempacotar o malware, alterando indicadores de comprometimento e explorando novas superfícies de ataque. Isso tende a tornar a detecção mais difícil e a prolongar a vida útil da ameaça.
Além disso, frameworks “prontos para uso” democratizam o cibercrime. Em vez de depender de desenvolvedores experientes, operadores com conhecimento técnico limitado podem montar campanhas complexas apenas seguindo tutoriais, ajustando painéis e clicando em alguns botões. O Flying Eagle é um exemplo claro dessa tendência: oferece infraestrutura, construtor de apps, painel de controle e até templates de phishing em um único pacote.
Para empresas e usuários finais, isso significa um aumento no volume e na diversidade de ataques. Mesmo que as famílias de malware sejam tecnicamente relacionadas, a multiplicidade de campanhas, idiomas, temas e disfarces dificulta a criação de defesas universais.
Riscos específicos para usuários de Android
O Android continua sendo um alvo prioritário por causa de sua ampla base instalada e do ecossistema de aplicativos distribuídos por múltiplas lojas, inclusive não oficiais. No caso de ferramentas como o Flying Eagle, o golpe se torna ainda mais perigoso quando o app malicioso se passa por serviço governamental ou institucional, como no caso do aplicativo que imitava a plataforma de segurança pública chinesa.
Entre os principais riscos para o usuário comum estão:
– Roubo de credenciais bancárias e de aplicativos de pagamento;
– Vazamento de dados pessoais sensíveis, como documentos e fotos;
– Monitoramento contínuo das atividades no aparelho, via keylogging e captura de tela;
– Acesso remoto completo, permitindo instalação de outros malwares e uso do dispositivo como parte de redes de fraude;
– Possibilidade de extorsão ou chantagem, caso imagens e informações privadas sejam obtidas.
Em muitos casos, a infecção é silenciosa, e o usuário não percebe nada além de pequenos travamentos, aumento no consumo de bateria ou uso anormal de dados móveis.
Como usuários e empresas podem se proteger
Diante desse cenário, algumas medidas práticas podem reduzir significativamente o risco de comprometimento por frameworks como o Flying Eagle e o Night Dragon:
1. Instalar apps apenas de lojas confiáveis: sempre que possível, priorizar a loja oficial do sistema e verificar o desenvolvedor, as avaliações e o número de downloads. Desconfiar de aplicativos que imitam serviços oficiais, mas têm poucos comentários ou histórico recente.
2. Desconfiar de pedidos excessivos de permissão: se um app de serviço público ou financeiro solicita acesso a câmera, microfone, SMS, serviços de acessibilidade ou funções que não fazem sentido para sua finalidade, isso é um sinal de alerta.
3. Evitar habilitar a instalação de fontes desconhecidas: manter desativada, por padrão, a permissão para instalar APKs fora da loja oficial e só alterá-la em casos muito específicos e bem compreendidos.
4. Manter o sistema e aplicativos atualizados: atualizações de segurança corrigem vulnerabilidades que podem ser exploradas por malwares para ganhar privilégios ou se manterem ocultos.
5. Usar soluções de segurança reconhecidas: ferramentas de segurança móvel podem detectar muitas famílias de malware conhecidas, inclusive variantes derivadas de frameworks populares.
6. Monitorar transações financeiras e notificações: qualquer movimentação estranha em contas bancárias, carteiras digitais ou apps de pagamento deve ser investigada imediatamente.
Desafios para a defesa e para a investigação
Para equipes de segurança digital, o surgimento e vazamento de frameworks como o Flying Eagle representa um desafio duplo. Enquanto precisam criar assinaturas, regras de detecção e mecanismos de bloqueio para as amostras conhecidas, também enfrentam um fluxo contínuo de variantes, ligeiramente modificadas, que exigem monitoramento constante e inteligência de ameaças em tempo real.
Do ponto de vista da investigação, a dispersão de servidores C2 em diferentes países, muitas vezes com uso de proxies, hospedagens anônimas e certificados genéricos, dificulta a identificação rápida de operadores. Mesmo quando um servidor é derrubado, outros podem assumir seu lugar, mantendo a campanha viva.
Tendência de profissionalização do cibercrime móvel
O caso do Flying Eagle ilustra uma tendência clara: o cibercrime voltado para dispositivos móveis está se profissionalizando, adotando modelos de negócio semelhantes aos de softwares legítimos. Há desenvolvimento contínuo, suporte, “atualizações” e até serviços adicionais, como lavagem de dinheiro e consultoria para campanhas.
Essa profissionalização tende a aumentar o impacto de cada vazamento de código-fonte. O que antes poderia destruir o valor comercial de um malware agora serve como combustível para uma comunidade mais ampla de operadores, que adaptam e reempacotam o código para nichos específicos – desde fraudes financeiras locais até ataques direcionados a usuários de determinado país ou serviço.
Diante disso, a conscientização de usuários, a melhoria contínua das defesas das plataformas móveis e a cooperação entre pesquisadores e autoridades se tornam fatores essenciais para reduzir o espaço de atuação desses grupos. Enquanto frameworks como Flying Eagle e Night Dragon continuarem circulando, a superfície de ataque dos dispositivos Android seguirá sob forte pressão.