Vazamento do RAT Android "Flying Eagle" expõe ecossistema de 170 servidores usados para esvaziar contas bancárias e cripto
Pesquisadores da Hunt.io e o jornalista independente NetAskari rastrearam o vazamento do framework de RAT Android "Flying Eagle" (飞鹰), originalmente distribuído por um app falso que se passa por um serviço de uma polícia provincial chinesa. A partir de duas fingerprints técnicas de infraestrutura, mapearam 170 servidores ativos ligados a um mercado no Telegram que vende acesso pronto para roubar credenciais bancárias e de carteiras cripto por meio de telas de sobreposição (overlay). Canais de suporte no Telegram chegam a orientar operadores passo a passo sobre como esvaziar contas de Alipay e WeChat das vítimas, tratadas internamente como "fish".
O código-fonte do Flying Eagle vazou no início de 2026 junto com cerca de 200 bancos de dados de clientes do próprio grupo criminoso, o que deu aos pesquisadores uma visão rara de como a operação é vendida e sustentada. A partir de duas características técnicas recorrentes nos painéis — um título de administração "AdminPro" com um redirecionamento HTTP específico, e um certificado TLS padrão de contêiner Docker usado por todas as instâncias, além de uma variável de ambiente com erro de digitação ("SECRIT_KEY") repetida em várias versões —, foi possível localizar 170 servidores ativos dessa mesma infraestrutura espalhados pela internet.
O framework inclui um construtor de APK que aceita texto de engenharia social personalizado, nome e ícone do aplicativo e endereço de callback, gerando automaticamente um pacote assinado disfarçado de app oficial — no caso que deu origem à investigação, um serviço de segurança pública provincial chinesa. Depois de instalado, o RAT ofusca nomes de classe internos com strings aleatórias, criptografa a comunicação com o servidor de controle usando AES-128-CBC e concede ao operador controle quase total do aparelho: tela em tempo real, SMS, galeria de fotos, áudio e câmera.
O componente que transforma essa infecção em fraude financeira é um sistema de sobreposição (overlay): assim que a vítima abre um aplicativo de banco ou carteira digital, o RAT projeta por cima uma tela falsa de captura de credenciais, com atalhos de um clique prontos para Alipay, WeChat Pay e os maiores bancos chineses, além das carteiras cripto TokenPocket e imToken. Um dos canais de Telegram identificados vende esse acesso já com "manual de operação" para esvaziar as contas das vítimas e declara taxas de conversão entre 20% e 50%; outro canal paralelo revende versões do código-fonte com backdoors removidos, com garantia de reembolso — evidência de um mercado criminoso já maduro, com divisão comercial de papéis. Um sucessor chamado "Night Dragon" já está em testes, adicionando uma tela preta que simula atualização do sistema para esconder a instalação.
Para usuários, o alerta prático é nunca instalar aplicativos de "órgãos públicos" fora da loja oficial e desconfiar de apps que pedem permissões de câmera, microfone, SMS e galeria sem justificativa clara. Bancos e fintechs devem tratar detecção de sobreposição de tela (overlay attacks) como prioridade em apps financeiros, e times de inteligência de ameaças podem usar as fingerprints de infraestrutura divulgadas (painel AdminPro, certificado Docker padrão) para bloquear proativamente os 170 servidores já mapeados.