Nach Angaben von NetAskari und hunt.io wird „Flying Eagle“ als komplettes Docker-Deployment ausgeliefert. Nutzer erhalten damit nicht nur den eigentlichen Baukasten, sondern ein fertig geschnürtes Paket mit Webserver, WebSocket-Server, PHP und MySQL. Hinzu kommen Build-Werkzeuge für Android Package Kit (APK) und Software Development Kit (SDK), Java 11 sowie ein standardmäßig mitgeliefertes TLS-Zertifikat. Außerdem enthält das Paket unterschiedliche Phishing-Vorlagen, die unter anderem TikTok, populäre Erotikdienste, Finanz-Apps und Projekte der öffentlichen Wohlfahrt nachahmen.

NetAskari beschreibt gegenüber Dark Reading vor allem den niedrigen Einstieg: Solche Kits seien inzwischen komfortabel und modular aufgebaut, mit grafischen Oberflächen, klaren Abläufen, Vorlagen und sofort einsatzbereiten Frameworks. Das richte sich erkennbar eher an gewöhnliche Kriminelle als an hochspezialisierte Angreifer. Auch der Einsatz von Docker passe dazu: Das Konzept erleichtere eine schnelle Bereitstellung und senke die Hürden für Nutzer.

Bei einer Testinstanz fanden die Forscher im APK-Builder mehrere Funktionen zur Umgehung statischer Erkennung. So verschleiert das System Klassennamen im Code, die Antiviren-Engines auffallen könnten. Zudem wird jede neue Malware-Probe individualisiert, indem der fest eincodierte Paketname durch einen zufällig erzeugten, aber plausibel wirkenden Namen wie „com.cloud.manager.core“ ersetzt wird.

Esteban Borges, Forschungsleiter von hunt.io, hob insbesondere die Tarnmechanismen im APK-Builder hervor. Um die Proben aufzufüllen, verzichte das System auf Zufallsbytes, die heuristische Erkennung auslösen könnten, und injiziere stattdessen einige Megabyte Base64-JSON, getarnt als Konfigurations-Caches eines SDK. Das halte die Entropie niedrig und lasse die Daten wie gewöhnliche App-Inhalte erscheinen. Laut Borges habe der Entwickler in einem Kommentar sogar genau diesen Zweck festgehalten.

Die mit „Flying Eagle“ erzeugten Samples können laut den Forschern zahlreiche Daten von Mobilgeräten abgreifen, darunter Zahlungsdaten und Bildschirmaufnahmen. Unterstützt werden außerdem Keylogging und Kamerazugriff. Die Malware kann Bedienungshilfen missbrauchen, um Rechte auszuweiten, und Overlays in Apps aus dem Behörden-, Erotik- und Finanzumfeld einblenden.

Ursprünglich wurde „Flying Eagle“ dem Bericht zufolge nur in geschlossenen Kreisen geteilt. Erst in diesem Jahr gelangte das Tool in das breitere chinesische Cybercrime-Ökosystem. Kurz darauf entstand ein Telegram-Kanal namens „SQLRCE0“, der das Werkzeug verbreitete, technischen Support anbot und eine „reparierte“ Version des Originals für 2.000 US-Dollar in der Kryptowährung Tether vermarktete. Einige Monate später folgte ein zweiter größerer Telegram-Kanal mit ähnlicher Funktion.

Als die chinesische Regierung im Frühjahr vor mit „Flying Eagle“ erzeugten Fake-Apps warnte, reagierte „SQLRCE0“ laut den Forschern schnell. Fünf Tage nach der Warnung veröffentlichte der Kanal ein neues Android-Fernsteuerungs-Kit namens „Night Dragon“. Noch sei es deutlich weniger verbreitet als „Flying Eagle“: Die Forscher fanden nur einige wenige aktive Server, während der Vorgänger auf Hunderte komme.

Technisch könnte „Night Dragon“ jedoch weiter sein. Das Kit kann Live-Ansichten des Bildschirms, Mikrofon-Audio und Kamerabilder erfassen, auf SMS, Fotogalerien und weitere Dateien zugreifen und Overlays in populäre chinesische Finanz-Apps wie AliPay und WeChat, in Plattformen für Krypto-Wallets sowie in Apps großer Staatsbanken injizieren. Genannt werden die Agricultural Bank of China, die China Construction Bank und die Industrial and Commercial Bank of China (ICBC). Um die Aktivitäten zu verbergen, blendet „Night Dragon“ das eigene App-Symbol aus und kann Betroffenen während manueller Aktionen einen künstlichen schwarzen Update-Bildschirm anzeigen.