Flying Eagle: Android-Malware befällt 11 Millionen Geräte weltweit

Eine neu identifizierte Schadsoftware für das Betriebssystem Android hat global bereits mehr als 11 Millionen Endgeräte befallen. Berichten zufolge steht hinter dieser massiven Infektionswelle ein hochentwickelter Fernzugriffstrojaner (Remote Access Trojan, RAT) namens „Flying Eagle“, der als modulares Baukastensystem vertrieben wird. Die Malware zielt primär auf das Entwenden sensibler Finanzdaten und die Kompromittierung mobiler Bezahlsysteme ab.

Flying Eagle: Ein modulares Schadsoftware-System

Bei der entdeckten Bedrohung handelt es sich um einen sogenannten Full-Service Mobile RAT Builder. Die Software basiert auf Docker und ermöglicht es Angreifern, individuelle APK-Dateien zu erstellen, die mit Phishing-Vorlagen für populäre Plattformen wie TikTok oder verschiedene Finanz-Apps ausgestattet sind. Um einer Entdeckung durch Sicherheitsprogramme zu entgehen, nutzt Flying Eagle spezielle Verschleierungstechniken. So tarnt die Malware ihre Kommunikation unter anderem als Base64-kodiertes JSON-Format, das als harmloser Cache eines Software Development Kits (SDK) erscheint.

Der Funktionsumfang des Trojaners ist weitreichend. Die Schadsoftware ist in der Lage, Zahlungsdaten abzugreifen, Tastenanschläge zu protokollieren (Keylogging) sowie Screenshots anzufertigen. Zudem können die Angreifer aus der Ferne auf die Kamera der infizierten Geräte zugreifen. Branchenexperten identifizierten in diesem Zusammenhang bereits 170 aktive Server, die für die Steuerung der infizierten Geräte und den Datenabfluss genutzt werden.

Angesichts von Millionen infizierter Geräte wird deutlich, wie verwundbar mobile Bankdaten und private Apps heute sind. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 sofort umsetzbare Schutzmaßnahmen, um Ihr Android-Smartphone effektiv vor Hackern und Datenmissbrauch abzusichern. 5 Schutzmaßnahmen für Ihr Smartphone jetzt kostenlos entdecken

Vertrieb über Messenger-Dienste und Quellcode-Leaks

Die Verbreitung der Malware erfolgt hochgradig organisiert über spezialisierte Kanäle auf der Plattform Telegram. Ein Kanal namens SQLRCE0 vertreibt nach einem Quellcode-Leak eine modifizierte Version des Trojaners für einen Preis von 2.000 Tether. Ein weiterer Akteur, der unter dem Namen Yx Technology agiert, bietet neben der Software zusätzlich sogenannte Cash-Out-Dienste an, um die gestohlenen Gelder aus den kompromittierten Konten abzuführen.

Der Quellcode der Malware wird in einschlägigen Kreisen auch unter der Bezeichnung „Chinese Dragon“ gehandelt. Das Programmpaket umfasst etwa 388 Megabyte und enthält neben Docker-Umgebungen und Webserver-Komponenten wie nginx und PHP auch Datenbank-Tools sowie Android-Entwicklungswerkzeuge. Zum Lieferumfang gehören zudem fertige Phishing-Vorlagen und TLS-Zertifikate, was die Hürden für potenzielle Cyberkriminelle deutlich senkt.

Da Cyberkriminelle ihre Methoden ständig verfeinern und Sicherheitslücken gezielt ausnutzen, ist ein aktuelles System die wichtigste Verteidigungslinie. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken durch richtige Updates schließen und gefährliche Apps rechtzeitig erkennen. Kostenlosen Android-Update-Ratgeber hier herunterladen

Erweiterung durch das „Night Dragon“-Kit

Zusätzlich zu Flying Eagle wurde ein separates Erweiterungspaket namens „Night Dragon“ entdeckt. Dieses Kit ist auf die Echtzeit-Überwachung spezialisiert und bietet Funktionen für Live-Streaming des Bildschirms sowie den Zugriff auf Mikrofon und Kamera. Besonderes Augenmerk liegt hierbei auf der Manipulation chinesischer Zahlungsdienste und Staatsbanken. Durch die Einblendung gefälschter Benutzeroberflächen (Overlays) auf Apps wie AliPay oder WeChat versuchen die Angreifer, Transaktionen zu manipulieren oder Zugangsdaten zu stehlen. Aktuelle Analysen zeigen für dieses Kit eine Infrastruktur von 46 Online-Geräten, von denen 29 als aktiv eingestuft werden.

Bereits Mitte Juni warnte das chinesische Nationale Zentrum für Cybersicherheit (NCSC) vor dieser Art von Bedrohungen. Die nun beobachtete Malware wird oft als vermeintliche App für öffentliche Sicherheit („Public Security“) getarnt, um Nutzer zur Installation zu bewegen. Das System ist als Premium-Mobile-RAT-Modell (Malware-as-a-Service) konzipiert und verfügt über automatisierte Protokolle, die darauf ausgelegt sind, Bankkonten systematisch zu leeren. Aufgrund der Kompatibilität mit weit verbreiteten Zahlungssystemen stufen Sicherheitsexperten das Schadenspotenzial als besonders hoch ein.

de | wissenschaft | 69900908 |