Android向け遠隔操作マルウェア「Flying Eagle」のビルドツールが拡散、170台のサーバーで痕跡検出

要点

• Android端末を標的とした遠隔操作マルウェア「Flying Eagle」の構築ツールが、Telegram上で流通している。

• 調査により、このマルウェアの制御パネルや証明書をホストする170台のサーバーの痕跡が検出された。

• 攻撃者は中国の行政サービスを装う偽アプリを用いて、被害者の決済情報や画面入力の窃取を試みていた。

• Telegram上では、同じ攻撃グループが展開する金銭目的の別ツール「Night Dragon」の活動も確認されている。

• Android端末を遠隔から不正操作するマルウェア「Flying Eagle」の構築ツールが、Telegramのサイバー犯罪チャンネルで広く流通していることが分かった。セキュリティ企業のHunt.ioと独立系研究者のNetAskariによる共同調査レポートが2026年7月28日に公開され、関連する制御用サーバー170台の痕跡が確認された。このツールは、中国のオンライン行政サービスを装った偽アプリを通じて被害者の情報を盗み出すために悪用されている。

行政サービスを装うマルウェアの機能

Flying Eagleは、感染した端末を外部から操作するRAT（Remote Access Trojan：遠隔操作型トロイの木馬）である。解析の結果、既存のマルウェア「SpyNote」のコードをベースにしており、Androidのユーザー補助機能（アクセシビリティサービス：操作を支援するシステム機能）を悪用して特権の昇格やジェスチャーの実行を行う仕様であることが判明した。

このマルウェアは、中国の行政サービス「公安一网通办」を装う偽アプリの作成に使われていた。偽アプリは金融や行政、成人向けアプリの起動時に偽の入力画面を重ねて表示し、決済パスワードやキーボード入力を窃取するほか、画面録画やカメラへのアクセスを行う。中国の国家サイバーセキュリティ通知センターは2026年6月18日に警告を発し、偽アプリは「110gongan[.]com」（IPアドレス：207.56.30[.]188）から配布されていたと指摘。感染した場合はアプリの削除や端末のスキャン、パスワード変更、決済の凍結などを強く求めている。

Docker環境で提供される構築パッケージ

調査によると、Flying Eagleのソースコードは「中国竜.zip」という約388メガバイトの圧縮アーカイブで配布されている。中身はWebサーバーのNginx、PHP、MySQL、Node.jsによるWebSocketサーバー、Androidビルドツール、フィッシング用テンプレートなどが同梱されたDocker（ドッカー：アプリの動作環境を仮想的にまとめて構築できるシステム）の完全な展開環境である。

攻撃者は、管理画面からアプリ名やアイコン、おとり文章、そしてC2サーバー（指令サーバー：攻撃者がマルウェアに命令を送り、データを受け取るためのサーバー）の接続先を指定するだけで、署名済みのAPKファイル（Androidアプリのインストールファイル形式）を自動生成できる。

また、セキュリティ製品の検知を避けるため、パッケージ名やクラス名は自動でランダム化され、埋め込まれた指令サーバーの接続先URLはAES-128-CBCで暗号化される。さらに、正規のソフトウェア開発キット（SDK）の設定ファイルに見せかけるため、不要なJSONデータ（パディングデータ：ファイルサイズ調整のための無意味なデータ）が最大3.5メガバイト追加される仕様となっている。

検出されたサーバーとTelegramでの動き

過去30日間のデータを分析した結果、170台のサーバーでFlying Eagleに関連するインフラの痕跡が検出された。このうち158台は管理画面のタイトル（AdminPro）やHTTPSリダイレクトの挙動などから、12台は同梱されたデフォルトの証明書から特定された。この数値は接続された端末の数や被害者数を直接示すものではなく、リダイレクトを返さなかったサーバーは除外されているため、実際の稼働数はさらに多い可能性がある。

Telegramの「SQLRCE0」などの犯罪者向けチャンネルでは改変版の配布が行われており、ハッキングによってデータベースの情報が盗み出されたという真偽不明の主張や、取引額の20%から50%の手数料を請求する現金化サービスの広告も見られた。

また、「SQLRCE0」は2026年6月23日に「Night Dragon」（ナイトドラゴン）という別のAndroid操作ツールも導入した。このツールに関連する2台のサーバーが特定され、管理画面には46台がオンラインと表示されていたが、テストデータか被害端末かは判明していない。この「Night Dragon」は2011年にMcAfee（マカフィー：セキュリティ企業）が報告した国家支援型スパイ活動とは無関係であり、金銭目的の犯罪用ツールであると説明されている。