Dấu vết Flying Eagle Android RAT xuất hiện trên 170 máy chủ khi mã nguồn lan truyền
"Researchers found traces of the Flying Eagle Android RAT framework on 170 internet servers after source code began circulating in criminal Telegram channels. The kit is tied to a fake Chinese public security app and supports credential theft, screen recording, camera access, and phishing; no CVE is involved, and the reported server count does not confirm 170 infected devices or active C2 nodes."
Tác động đáng kể đối với an ninh thiết bị di động do khả năng trộm thông tin xác thực và điều khiển từ xa. Điểm then chốt gồm: ghi phím/mật khẩu thanh toán, quay màn hình và truy cập camera, và cơ chế tạo APK đã ký tùy biến cho chiến dịch lừa đảo.
Nguy cơ gián tiếp tới doanh nghiệp thông qua gian lận tài chính và rò rỉ dữ liệu người dùng, đặc biệt khi ứng dụng giả nhắm tới dịch vụ thanh toán và cổng dịch vụ. Điểm cần lưu ý: tăng rủi ro gian lận từ hành vi đánh cắp thông tin, gián đoạn niềm tin khách hàng do lừa đảo theo kịch bản, và nhu cầu củng cố quy trình cảnh báo/ứng phó cho người dùng di động.
Các nhà nghiên cứu cho biết mã nguồn Flying Eagle Android RAT đang được chia sẻ trên các kênh Telegram của tội phạm, đi kèm dấu hiệu hạ tầng trùng khớp với 170 máy chủ Internet. Hunt.io và một nhà nghiên cứu độc lập (NetAskari) đối chiếu control panel và chứng chỉ để xác định các máy chủ này.
Nhóm liên hệ bộ công cụ với một ứng dụng giả mạo dịch vụ an ninh công cộng tiếng Trung nhắm tới người dùng Android tại Trung Quốc, thường được gắn với tên “公安一网通办”. Bộ mã hỗ trợ trộm mật khẩu thanh toán/ghi phím, quay màn hình, truy cập camera, và hiển thị màn hình lừa đảo cho các ứng dụng tài chính, nội dung người lớn và dịch vụ chính phủ.
Hunt.io cho biết số lượng 170 máy chủ chỉ phản ánh dấu vết hạ tầng, không chứng minh có 170 thiết bị bị nhiễm hay hệ thống C2 đang hoạt động. Các khuyến nghị từ phía cơ quan chức năng Trung Quốc gồm: gỡ ứng dụng giả, quét thiết bị, đổi mật khẩu tài khoản liên quan, đóng băng kênh thanh toán nếu có giao dịch bất thường, và báo cáo cơ quan chức năng.
Ngoài ra, nghiên cứu mô tả gói phân phối 388 MB (中国龙.zip) chứa triển khai Docker (nginx, PHP, MySQL, WebSocket), công cụ build Android, template lừa đảo và chứng chỉ TLS mặc định; bảng điều khiển cho phép tùy biến thông tin mồi và địa chỉ C2, sau đó tạo APK đã ký.