Hunt.io untersuchte Telemetriedaten der vorangegangenen 30 Tage und fand dabei Infrastruktur-Merkmale von Flying Eagle auf 170 Servern. 158 Systeme identifizierten die Forscher über den Seitentitel „AdminPro“, ein bestimmtes HTTPS-Umleitungsverhalten und übereinstimmende Antwort-Header. Weitere 12 Server kamen über ein Standardzertifikat hinzu, das mit Flying Eagle ausgeliefert wird. Nach Einschätzung der Forscher ist die Gesamtzahl eher konservativ, weil ähnliche Server ausgeschlossen wurden, wenn sie nicht die erwartete 302-Umleitung zurückgaben.
Laut einer gemeinsamen Untersuchung, die am 28. Juli veröffentlicht wurde, wurde der Flying-Eagle-Code als 388 MByte großes Archiv mit dem Namen „中国龙.zip“ verteilt, also „Chinesischer Drache“. Das Paket enthält eine vollständige Docker-Bereitstellung mit nginx, PHP, MySQL, einem Node.js-WebSocket-Server, Android-Build-Werkzeugen, Phishing-Vorlagen und einem standardmäßigen Transport-Layer-Security-Zertifikat.
Über das Panel kann ein Betreiber App-Namen, Symbol, Ködertext und die Adresse des Command-and-Control-Servers auswählen und daraus eine signierte APK auf Basis von zwei Vorlagen erzeugen. Der Builder randomisiert Paket- und Klassennamen, verschlüsselt eingebettete C2-Adressen mit AES-128-CBC und ergänzt 2,8 bis 3,5 MByte an JSON-Füllmaterial mit niedriger Entropie, das wie legitime Konfigurationsdaten eines Software Development Kits aussehen soll.
Flying Eagle ist dabei der Baukasten und das Kontroll-Framework. Hunt.io erklärte, dass die aus dem Builder analysierten Samples von Schutzprodukten als SpyNote erkannt wurden und Android-Barrierefreiheitsdienste für Rechteausweitung und das Einschleusen von Gesten nutzten.
Die Forscher beobachteten zudem die Telegram-Kanäle SQLRCE0 und Yx Technology, die modifizierte Versionen des Frameworks verbreiteten. Von ihnen ausgewertete Nachrichten behaupteten, eine nicht benannte Partei habe Kundeninfrastruktur mit 189 Flying-Eagle-Servern kompromittiert und Datenbanken exfiltriert. Unabhängig bestätigt ist diese Darstellung laut Bericht allerdings nicht. Yx Technology bewarb außerdem Auszahlungsdienste mit Gebühren von 20 bis 50 Prozent des Transaktionswerts.
Die Verbreitung des Quellcodes und die Zahl der Server sind damit dokumentiert, ein ursächlicher Zusammenhang zwischen beidem ist laut Bericht aber nicht belegt. Ebenso wichtig ist die Einordnung, dass die 170 Server nicht mit 170 Opfern oder kompromittierten Endgeräten gleichgesetzt werden können.
Chinese Behörden rieten Personen, die die betrügerische App installiert haben, die Anwendung zu entfernen, das Gerät zu prüfen, betroffene Kontopasswörter zu ändern, Zahlungswege einzufrieren, falls Gelder bewegt wurden, und den Vorfall bei der Polizei zu melden. Das National Cybersecurity Notification Center in China hatte bereits gewarnt, dass die App Zahlungsdaten entwenden und Geräte fernsteuern könne.
SQLRCE0 stellte außerdem am 23. Juni 2026 ein separates Android-Kontrollpaket namens Night Dragon vor. Die Forscher fanden dafür zwei zugehörige Server und ein offen erreichbares Panel, das 46 Geräte als online und 29 als aktiv verbunden auswies. Ob diese Einträge echte Opfer oder Testdaten darstellen, konnten sie nach eigenen Angaben nicht feststellen. Hunt.io sieht Night Dragon als eigenständigen Build; zum 12. Juli befand sich demnach bereits eine zweite Version in Entwicklung. Der Bericht belegt, dass SQLRCE0 Flying Eagle verbreitete und Night Dragon bewarb, nicht aber gemeinsamen Quellcode. Zudem handelt es sich ausdrücklich nicht um die von McAfee 2011 so benannte China-nahe Spionagekampagne Night Dragon; das 2026er-Kit ist laut Bericht finanziell motivierte Android-Kriminalsoftware.