「Flying Eagle」と名付けられた新たに解析されたAndroidのリモートアクセス型トロイの木馬(RAT)が、ユーザー補助サービス(Accessibility Services)を悪用して大規模な監視や認証情報の窃取、端末の遠隔操作を可能にしていることが判明しました。この不正プログラムは、偽の公安局(PSB)アプリを通じて配布されています。
2026年6月18日には中国国営メディア(CCTV)がこのキャンペーンについて公に警告を発表し、政府の公式サービスを装った不正アプリが被害者を騙して悪意あるAPKをサイドロードさせている実態を明らかにしました。
感染の初期経路は、攻撃者が管理する110gongan[.]comなどのドメインが中心となっています。「GongAn」とは中国の公安局を指す言葉です。
セキュリティトレーニングコース
これらのアプリはインストール時にユーザー補助権限を要求し、これによりマルウェアに事実上の昇格権限が付与されます。
この権限が有効化されると、Flying Eagleはキーロギング、画面キャプチャの実行、AndroidのdispatchGesture APIを介したジェスチャー注入、さらには金融・政府・アダルト系アプリを標的としたフィッシングオーバーレイの展開が可能になります。
技術分析の結果、Flying Eagleは単独のマルウェア株ではなく、APK生成機能と指令サーバー(C2)によるデバイス管理機能を統合オペレーターパネル内で組み合わせたモジュール型プラットフォームであることが明らかになりました。
Telegramチャンネル「Yx科技」(Yx Technology)や「SQLRCE0」などを通じて配布されているこのビルダーフレームワークにより、脅威アクターはフィッシングテンプレートや暗号化されたC2コールバックを組み込んだカスタムペイロードを生成できます。
その基盤となるインフラは、運用が成熟している明確な兆候を示しています。公開された警告に記載された初期の痕跡情報には、Zillion Network Inc.(AS54801)がホストするIPアドレス207.56.30[.]188および207.56.30[.]194が含まれており、これらはfusu.us[.]ciやls.j2x8a[.]topといったドメインに紐づくローテーション式TLS証明書を使用していたことが判明しています。
証明書のメタデータを手がかりに追跡調査を行ったところ、Antbox Networks Limited(AS138995)配下にも追加のインフラが確認され、「阿力科技」や「AdminPro」と題された中国語の管理パネルをホストするサーバーが見つかりました。
Hunt.ioの研究者らは、過去30日間でFlying Eagleのインフラに関連するアクティブなサーバーを少なくとも170台特定しました。これらは主に香港に集中していますが、米国、カナダ、フィンランド、マレーシア、日本にも追加のノードが存在しています。
一貫して見られる特徴としては、HTTPS エンドポイントへのHTTP 302リダイレクト、Strict-Transport-Securityヘッダー、そしてxyttkx[.]ccのサブドメイン向けに発行されたデフォルトのTLS証明書が挙げられます。
「中国龙.zip」(Chinese Dragon)と名付けられた流出ソースアーカイブの内部からは、nginx、PHP、MySQL、Node.js WebSocketサービスを含む、Dockerベースの完全なデプロイスタック一式が研究者によって確認されました。
Eagle RATによるAndroid悪用の手口
APKビルダーモジュールはJava 11とAndroid SDKツールを使用し、パッケージ名のランダム化、クラス識別子の難読化、そして構造化された低エントロピーのパディング注入によって、多形性(ポリモーフィック)マルウェアサンプルを生成しウイルス対策ソフトによる検知を回避します。
アンチウイルスとマルウェア
主要な機能は、LiveKeysStrok(キーロギング)、ScreenCaps(画面キャプチャ)、Webjector(フィッシングオーバーレイ)、AccessibilityActivity(権限悪用)といったクラスコンポーネントに直接対応しています。
注目すべき点として、C2通信はPBKDF2由来の鍵を用いたAES-128-CBCで暗号化されており、旧型のWindowsバイナリ(EaodWorker.exe)との互換性も維持されていることから、クロスプラットフォームでの系譜を持つことが示唆されています。
サンドボックスでの検知結果からは、Flying EagleのサンプルがSpyNoteマルウェアの亜種と関連していることが分かり、ユーザー補助機能を悪用した権限昇格、FirebaseおよびWebSocketによる通信、動的なオーバーレイ注入といった挙動の重複が確認されています。
また、このビルダーはエントロピーを低減しヒューリスティック検知エンジンを回避するため、Base64エンコードされたJSONアセット(2.8~3.5MB)を埋め込んでいます。
Flying Eagleを取り巻くエコシステムは、2026年2月初旬に発生したソースコード侵害を経て大きく拡大しました。TelegramチャンネルのSQLRCE0は、約200件の顧客データベースへのアクセス権を入手したと主張し、その後「修正済み」のバックドアを組み込んだコードベースの改変版を公開、約2,000 USDTでビルドを提供していました。
並行して活動する別のチャンネル「Yx Technology」は、ツールやフィッシングテンプレートの配布に加え、盗んだ資金の現金化サービスまで提供することでこのマルウェアの実運用を進めており、通常20~50%の手数料を徴収していました。
このプラットフォームは急速に進化を続けている兆候も見られます。2026年6月23日、SQLRCE0は「Night Dragon」(夜龙)と名付けられた後継フレームワークを投入しました。これには画面を黒くするブラックスクリーン攻撃モード、アイコンの自動非表示機能、Alipay・WeChat・銀行アプリ・暗号資産ウォレットを狙った標的型の認証情報窃取機能など、強化された機能が搭載されています。
Night Dragonに関連する初期のインフラはまだ限定的ですが、既知のFlying Eagleのホスティングプロバイダーと重複が見られます。
流出したソースコード、Telegramを介した活発な配布、そして世界規模に分散したインフラが一体となっていることは、コモディティ化したAndroidマルウェアフレームワークの拡大傾向を裏付けています。
アンチウイルスとマルウェア
このキャンペーンの規模を物語る一例として、感染デバイス46台を露出させた管理パネルが発見されており、そのうち29件がアクティブなセッションとして稼働していました。これにより運用者はSMS、カメラ映像、音声録音、リアルタイムの画面制御にアクセスできる状態になっていました。
このインターフェースには、特定の金融アプリに合わせたフィッシングオーバーレイをワンクリックで展開できる機能も含まれています。
Flying Eagleは、ユーザー補助サービスが従来の検知メカニズムを回避しながら感染端末への持続的かつステルス性の高い制御を可能にする、強力な攻撃ベクトルとして悪用され続けている実態を如実に示しています。
2026年のAI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/eagle-rat-abuses-android/
