Código-fonte do malware Android Flying Eagle vaza, revela 170 servidores ativos e expõe avanço industrial do cibercrime móvel
O vazamento do código-fonte do framework malicioso Flying Eagle, usado para criar trojans de acesso remoto (RATs) em dispositivos Android, escancarou a escala e o nível de profissionalização das operações criminosas focadas em celulares. Pesquisadores da Hunt.io, em parceria com o analista independente NetAskari, mapearam ao menos 170 servidores na internet com características compatíveis com a infraestrutura desse kit de malware.
Esse número não representa diretamente a quantidade de vítimas nem o total de dispositivos infectados, mas indica a existência de uma rede distribuída de servidores utilizados para comando e controle (C2), testes, desenvolvimento e possíveis campanhas ativas. Em outras palavras: mesmo que parte desses servidores não esteja em operação plena, o ecossistema construído em torno do Flying Eagle é amplo o suficiente para preocupar autoridades e especialistas.
Falso app de serviço público chinês como isca
As investigações conectam o uso do Flying Eagle a um aplicativo fraudulento que se passava pela plataforma oficial chinesa “公安一网通办” (Plataforma Integrada de Serviços de Segurança Pública). Essa ferramenta falsa era apresentada como um app legítimo de serviços governamentais, explorando a confiança dos cidadãos em aplicativos oficiais para coleta e gestão de dados pessoais.
Uma vez instalado, o malware embutido no aplicativo era capaz de:
– capturar senhas de pagamento e credenciais sensíveis;
– registrar tudo o que é digitado (keylogging);
– gravar a tela do dispositivo em tempo real;
– acessar e acionar a câmera;
– exibir páginas falsas de login e autenticação em aplicativos financeiros, serviços governamentais e até plataformas de conteúdo adulto.
Com esse conjunto de funcionalidades, os operadores tinham condições de roubar dinheiro diretamente de contas bancárias e carteiras digitais, além de coletar fotos, vídeos e documentos para chantagem ou venda em mercados clandestinos.
Como os servidores foram identificados
A Hunt.io analisou dados de telemetria coletados ao longo de 30 dias e, com base em padrões de comportamento, conseguiu rastrear 158 servidores associados ao Flying Eagle. Entre os indicadores utilizados estavam:
– presença e características da página administrativa AdminPro;
– comportamento específico de redirecionamento em conexões HTTPS;
– similaridades em cabeçalhos HTTP.
Além disso, outros 12 servidores foram identificados porque utilizavam um certificado TLS padrão incluído diretamente no framework Flying Eagle, o que reforça que muitos operadores simplesmente reciclavam a configuração sugerida pelo próprio pacote criminoso.
Os especialistas consideram esse total de 170 servidores como um valor conservador. Infraestruturas com padrões próximos, porém sem o redirecionamento esperado ou com pequenas mudanças na configuração, podem ter ficado fora do mapeamento. Em campanhas desse tipo, é comum que operadores tentem diversificar servidores e certificados justamente para dificultar rastreamento e bloqueio.
Alerta das autoridades chinesas
Diante da descoberta do aplicativo falso, órgãos de cibersegurança da China emitiram alertas públicos. As recomendações foram diretas:
– remover imediatamente o app fraudulento do dispositivo;
– realizar uma varredura completa com ferramentas de segurança;
– alterar todas as senhas possivelmente comprometidas, em especial de bancos e carteiras digitais;
– bloquear meios de pagamento em caso de movimentações suspeitas;
– registrar um boletim junto à polícia para investigação.
O Centro Nacional de Notificação de Cibersegurança chinês já havia avisado, em 18 de junho, que o falso aplicativo estava sendo distribuído a partir do domínio 110gongan[.]com, ligado ao endereço IP 207.56.30[.]188. Segundo o alerta, o software malicioso tinha capacidade não apenas de roubar dados financeiros, como também de assumir controle remoto dos dispositivos infectados.
Um “kit completo” para montar campanhas de malware
O estudo, divulgado em 28 de julho, mostrou que o Flying Eagle era distribuído em um arquivo de 388 MB chamado 中国龙.zip (“Chinese Dragon”). Diferentemente de simples amostras de vírus, esse pacote entregava uma infraestrutura quase pronta para montar toda uma operação criminosa.
Dentro do arquivo, os analistas encontraram:
– ambiente Docker pré-configurado;
– servidores Nginx, PHP e MySQL;
– servidor WebSocket baseado em Node.js;
– ferramentas para compilação de aplicativos Android;
– modelos prontos de páginas de phishing;
– um certificado TLS padrão para uso em servidores HTTPS.
Ou seja, o framework não apenas fornecia o código do malware, mas também todo o ecossistema de suporte, do painel administrativo ao back-end de comunicação com as vítimas. Isso reduz drasticamente a barreira técnica de entrada para criminosos menos especializados e acelera a criação de novas campanhas.
Painel administrativo e personalização dos trojans
O painel de controle incluído no Flying Eagle permite que o operador personalize praticamente todos os aspectos do aplicativo malicioso. Por meio dessa interface, é possível:
– definir o nome do app que será mostrado à vítima;
– trocar o ícone por algo mais convincente (como bancos, carteiras digitais ou serviços públicos);
– ajustar o texto de isca utilizado na instalação;
– configurar o endereço do servidor de comando e controle (C2).
Depois de preencher esses parâmetros, o sistema gera automaticamente um arquivo APK assinado, pronto para ser distribuído, a partir de dois modelos básicos de aplicativo oferecidos pelo framework. Essa automatização torna muito fácil criar múltiplas variantes, com ícones e nomes distintos, sem precisar alterar o código manualmente.
Técnicas para fugir da detecção
Para dificultar a ação de antivírus e ferramentas de segurança, o construtor do Flying Eagle implementa várias técnicas de ofuscação e disfarce:
– altera automaticamente nomes de pacotes e classes no aplicativo, o que complica a criação de assinaturas estáticas;
– criptografa os endereços dos servidores de comando usando AES-128-CBC, escondendo os destinos reais da comunicação maliciosa;
– injeta entre 2,8 MB e 3,5 MB de dados JSON com baixa entropia, simulando arquivos de configuração legítimos de SDKs de terceiros.
Essa “camada falsa” de dados é útil para confundir análises automatizadas, que podem interpretar esses blocos como componentes comuns de aplicativos comerciais, e não como parte de um RAT avançado.
Curiosamente, apesar de toda a estrutura própria do Flying Eagle, a Hunt.io observou que muitas das amostras criadas a partir desse framework estavam sendo classificadas por soluções de segurança como variantes do SpyNote. Em comum, os dois malwares exploram os serviços de acessibilidade do Android para elevar privilégios, realizar ações por gestos simulados e assumir controle amplo do dispositivo.
Papel do Telegram na disseminação do kit
A investigação também identificou a distribuição do Flying Eagle em canais do Telegram, onde eram oferecidas versões modificadas do framework. Em ao menos dois desses canais – SQLRCE0 e Yx Technology – o pacote era divulgado como uma solução “completa” para campanhas fraudulentas em Android.
Mensagens nesses ambientes afirmavam que uma infraestrutura com 189 servidores Flying Eagle teria sido comprometida e que bancos de dados com informações de operadores criminosos teriam sido roubados. Até o momento, porém, os pesquisadores não conseguiram confirmar de forma independente a veracidade dessas alegações, que podem funcionar tanto como aviso quanto como tentativa de autopromoção.
O canal Yx Technology, além de distribuir o framework, também anunciava serviços paralelos, como lavagem e saque de valores obtidos nas fraudes. As comissões anunciadas variavam entre 20% e 50% sobre cada transação, evidenciando um modelo “industrial” de cibercrime, no qual diferentes grupos se especializam em etapas específicas: desenvolvimento, infecção, monetização e retirada de fundos.
A Hunt.io destaca que, embora existam registros tanto do vazamento do código-fonte quanto da identificação dos 170 servidores, não há evidências concretas que liguem diretamente esses dois eventos. O número de servidores pode refletir campanhas anteriores e paralelas, enquanto o vazamento tende a facilitar ainda mais a disseminação do framework a partir de agora.
Novo framework: Night Dragon entra em cena
A análise da Hunt.io também revelou que o canal SQLRCE0 passou, em junho de 2026, a distribuir um novo framework de malware para Android, batizado de Night Dragon. Embora compartilhe o mesmo canal de divulgação, o projeto aparenta ser independente do Flying Eagle.
Foram encontrados dois servidores relacionados ao Night Dragon, além de um painel administrativo exposto publicamente. Nele, constavam 46 dispositivos online, dos quais 29 eram exibidos como ativos. Os pesquisadores, no entanto, não conseguiram determinar se esses dispositivos correspondiam a vítimas reais ou se se tratava de ambientes de teste e demonstração.
De acordo com a Hunt.io, já há sinais de que uma segunda versão do Night Dragon está em desenvolvimento desde julho, o que indica um ciclo contínuo de evolução. Importante ressaltar que esse malware não tem relação com a operação de espionagem corporativa conhecida como Night Dragon, descoberta anos atrás e associada a ataques contra empresas de energia e indústria. O nome, nesse caso, parece ter sido reaproveitado apenas por apelo comercial no submundo do cibercrime.
Por que o vazamento do código é tão preocupante
Quando o código-fonte de um framework desse tipo vaza, o impacto tende a ser duplo. Por um lado, autoridades e pesquisadores ganham mais visibilidade sobre o funcionamento interno da ameaça, o que pode ajudar na criação de detecções mais eficazes. Por outro, o material passa a circular livremente entre grupos criminosos de diferentes níveis de habilidade.
Isso significa que:
– novos operadores podem adaptar o código para outros idiomas, países e tipos de golpe;
– variantes podem surgir com pequenas modificações, dificultando o bloqueio por assinatura;
– o mesmo núcleo de código pode ser reutilizado em campanhas totalmente diferentes, mascarando a origem dos ataques.
Em termos práticos, frameworks como o Flying Eagle funcionam como “caixas de ferramentas” para o cibercrime móvel. Em vez de desenvolver um trojan do zero, o atacante obtém um pacote que já inclui painel, servidor, construtor de APK e até modelos de phishing, reduzindo custos, tempo e a necessidade de uma equipe técnica robusta.
Riscos específicos para usuários de Android
Usuários de Android são um alvo particularmente atraente por três motivos principais:
1. Fragmentação do sistema – existe uma enorme variedade de versões, fabricantes e interfaces, o que dificulta a atualização uniforme de correções de segurança.
2. Instalação de apps fora da loja oficial – em muitos países, é comum instalar APKs obtidos em sites de terceiros, ampliando a chance de baixar aplicativos adulterados.
3. Uso intenso para finanças e autenticação – celulares concentram hoje bancos, carteiras digitais, tokens, apps de trabalho e autenticação em duas etapas, se tornando um ponto único de falha.
Malwares como o Flying Eagle exploram justamente esse cenário: se conseguem se passar por um app de banco, governo ou serviço popular, têm grande probabilidade de serem instalados sem desconfiança. Uma vez dentro do aparelho, passam a monitorar senhas, códigos de SMS, notificações e gestos, permitindo desviar dinheiro e sequestrar contas.
Como se proteger de frameworks como Flying Eagle e Night Dragon
Diante da profissionalização desses kits de malware, algumas práticas se tornam essenciais para usuários e organizações:
– Instalar apps apenas de lojas oficiais e desconfiar de APKs recebidos por mensagem, e-mail ou baixados de sites desconhecidos.
– Verificar o desenvolvedor do aplicativo e a quantidade de avaliações antes de instalar, principalmente em apps que afirmam ser de bancos, governos ou grandes empresas.
– Manter o sistema e os aplicativos atualizados, pois muitas campanhas exploram falhas já corrigidas em versões mais recentes.
– Revisar permissões concedidas, em especial acesso a serviços de acessibilidade, SMS, notificações e administração do dispositivo. Um app governamental ou bancário pedindo permissões incomuns deve acender um alerta.
– Ativar autenticação em duas etapas em contas importantes, preferencialmente usando aplicativos autenticadores ou chaves físicas em vez de apenas SMS.
– Utilizar soluções de segurança confiáveis, que podem identificar comportamentos suspeitos, mesmo em malwares com técnicas de ofuscação.
Empresas e órgãos públicos, por sua vez, precisam investir em campanhas de conscientização explicando como são distribuídos oficialmente seus aplicativos, quais domínios e perfis são legítimos e quais canais nunca serão utilizados para enviar APKs diretamente.
Impacto para a investigação e para o futuro das ameaças móveis
A identificação de 170 servidores ligados ao Flying Eagle e de uma nova família como o Night Dragon indica que o cenário de ameaças para Android caminha cada vez mais para um modelo de “plataformas de crime como serviço”. Em vez de ataques isolados conduzidos por grupos altamente qualificados, surge um mercado em que qualquer interessado pode “contratar” ou adquirir um framework pronto.
Para investigadores, isso traz desafios e oportunidades. A padronização de ferramentas facilita a criação de indicadores de comprometimento, mas também aumenta o volume e a variedade de campanhas derivadas. A tendência é que surjam novos frameworks inspirados no Flying Eagle, com melhorias de ofuscação, novos módulos bancários, integrações com golpes de engenharia social e suporte a múltiplos idiomas.
Para o usuário final, o recado é claro: o celular tornou-se um dos alvos centrais do cibercrime global, e a instalação de aplicativos deve ser tratada com o mesmo cuidado que a digitação de senhas bancárias em um computador. Com o vazamento de códigos como o do Flying Eagle, a barreira de entrada para golpistas diminui ainda mais, tornando a vigilância digital um requisito permanente, não apenas uma preocupação pontual.