Flying Eagle: Neues Android-RAT-Ökosystem mit 170 Servern entdeckt

Sicherheitsanalysten der Organisationen NetAskari und hunt.io haben ein neues, hochentwickeltes Ökosystem für Android-Schadsoftware identifiziert. Das als „Flying Eagle“ bezeichnete System fungiert als Builder für sogenannte Remote Access Trojans (RAT) und wird im Rahmen eines Malware-as-a-Service-Modells (MaaS) vertrieben. Die Kampagne richtet sich nach aktuellem Kenntnisstand primär gegen Nutzer von Android-Endgeräten im chinesischen Raum und zeichnet sich durch eine komplexe technische Infrastruktur aus.

Die Distribution des Builders erfolgt über spezialisierte Telegram-Kanäle wie SQLRCE0 und Yx Technology. Letzterer bietet den Kriminellen nicht nur die Schadsoftware selbst an, sondern stellt auch Dienstleistungen zur Verwertung erbeuteter Gelder bereit. Für diese sogenannten Cash-Out-Dienste wird laut den Untersuchungen eine Gebühr zwischen 20 und 50 % des entwendeten Betrags erhoben.

Technische Struktur und Verschleierungstaktiken

Der Flying Eagle Builder wird als Docker-Deployment bereitgestellt, was den Angreifern eine schnelle und skalierbare Verteilung der Infrastruktur ermöglicht. Das zugehörige Quellcode-Archiv trägt die Bezeichnung „???.zip“ (China Dragon) und umfasst ein Datenvolumen von 388 MB. In diesem Paket sind neben Docker-Konfigurationen auch Komponenten wie nginx, PHP, MySQL und Node.js WebSocket enthalten. Zudem liefert das Archiv Android-Build-Tools, fertige Phishing-Vorlagen sowie TLS-Zertifikate mit.

Um die Entdeckung durch Sicherheitssysteme zu erschweren, nutzt die Malware verschiedene Verschleierungstechniken. Der Builder ist in der Lage, Paket- und Klassennamen zu randomisieren. Die Kommunikation mit dem Command-and-Control-Server (C2) wird mittels AES-128-CBC verschlüsselt. Ein weiteres Merkmal ist das Hinzufügen von bedeutungslosen Daten (JSON-Padding) in einer Größenordnung von 2,8 bis 3,5 MB, um die Dateistruktur zu verändern und signaturbasierte Erkennungen zu umgehen.

Angesichts immer komplexerer Verschlüsselungs- und Tarnmechanismen von Schadsoftware wird der Basisschutz des eigenen Geräts zur Pflicht. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Ausmaß der Infrastruktur und Verbreitungswege

Im Zuge der Ermittlungen konnten Forscher insgesamt 170 Server lokalisieren, die mit dem Flying Eagle-Netzwerk verknüpft sind. Die Identifizierung gelang unter anderem durch die Analyse von AdminPro-Seitentiteln, HTTPS-Weiterleitungen und Antwort-Headern bei 158 Systemen, während zwölf weitere Server über Standardzertifikate zugeordnet wurden.

Die Infektion der Endgeräte erfolgt häufig über täuschend echt wirkende Applikationen. Ein konkretes Beispiel ist eine gefälschte Version einer chinesischen Regierungs-App namens „??????“. Diese wird über die Domain 110gongan[.]com verbreitet, die einer spezifischen IP-Adresse (207.56.30[.]188) zugeordnet ist. Das nationale Zentrum für Cybersicherheit in China hatte bereits Mitte Juni vor dieser spezifischen Anwendung gewarnt.

Funktionalität der SpyNote-Variante

Die technologische Basis der Malware wurde als SpyNote identifiziert. Das Programm missbraucht die Barrierefreiheitsdienste (Accessibility Services) von Android, um weitreichende Berechtigungen auf den infizierten Geräten zu erhalten. Zu den Fähigkeiten des Trojaners gehören das Abgreifen von Zahlungspasswörtern und Tastatureingaben, die Aufzeichnung des Bildschirminhalts sowie der Zugriff auf die Kamera. Die Phishing-Module der Software zielen gezielt auf Anwendungen aus den Bereichen Finanzen, Behörden sowie auf Portale mit Inhalten für Erwachsene ab.

Wer Sicherheitslücken im Betriebssystem ignoriert, macht es Trojanern wie SpyNote besonders leicht, sensible Tastatureingaben und Passwörter abzugreifen. Erfahren Sie in diesem kostenlosen PDF-Leitfaden, wie Sie durch die richtigen Updates und Einstellungen Ihr Gerät rund um die Uhr schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Zusätzlich zu Flying Eagle wurde Ende Juni eine weitere Variante namens „Night Dragon“ über denselben Telegram-Kanal eingeführt. Erste Analysen zeigen eine aktive Nutzung: Bei zwei identifizierten Servern waren 46 Geräte registriert, von denen 29 als aktiv gemeldet wurden. Die Forscher betonten in diesem Zusammenhang, dass Night Dragon als unabhängige, finanziell motivierte Crimeware einzustufen ist und keine Verbindung zu der gleichnamigen Cyberspionage-Kampagne aus dem Jahr 2011 besteht.

de | wissenschaft | 69898060 |