Flying Eagle, malware Android: tracce trovate su 170 server
Hunt.io e il ricercatore indipendente NetAskari hanno tracciato 170 server collegati a Flying Eagle, un framework che fabbrica false app Android su misura e permette agli operatori di controllare da remoto i telefoni infetti. Il suo codice, sottratto agli sviluppatori originali, circola oggi su più canali Telegram criminali.
In breve
Flying Eagle (飞鹰) genera app Android false — mascherate da servizi governativi, banche, social o streaming — e le collega a un pannello da cui un operatore può rubare credenziali, registrare tasti e schermo, e attivare la fotocamera. La campagna documentata dai ricercatori colpisce oggi soprattutto utenti cinesi tramite una falsa app della pubblica sicurezza.
- Cos'è Flying Eagle e come è stato scoperto
- L'esca: una falsa app della pubblica sicurezza cinese
- Cosa può fare davvero il malware
- Il codice rubato e la sua circolazione
- Night Dragon: il possibile successore
- Riguarda anche l'Italia?
- Come riconoscere un'APK pericolosa
- Cosa fare se hai già installato un'app sospetta
- Cosa sappiamo e cosa non sappiamo
- Domande frequenti
Cos'è Flying Eagle e come è stato scoperto
Il ricercatore indipendente NetAskari, durante una normale attività di ricerca in fonti aperte, ha individuato un'APK Android che imitava il servizio di un ufficio provinciale di pubblica sicurezza cinese. Da lì è risalito a un canale Telegram che distribuiva il codice sorgente di un framework fino ad allora sconosciuto: Flying Eagle (飞鹰).
Il team di Hunt.io ha poi ricostruito l'infrastruttura incrociando certificati digitali e caratteristiche dei pannelli di controllo ("fingerprint"), arrivando a 170 server attivi nell'arco di 30 giorni: un ecosistema criminale frammentato, costruito da più gruppi diversi attorno allo stesso codice.
Sezione tecnica facoltativa: se ti interessa solo come proteggerti, vai direttamente ai consigli pratici più sotto.
L'esca: una falsa app della pubblica sicurezza cinese
Il punto di ingresso documentato da Hunt.io è un'app Android che si finge un servizio ufficiale della pubblica sicurezza cinese, distribuita tramite domini controllati dagli attaccanti. Un avviso pubblicato a metà giugno 2026 dai media di stato cinesi confermava già il rischio, mettendo in guardia i cittadini su applicazioni fraudolente travestite da servizi governativi.
Flying Eagle non è "un'app malevola": è una fabbrica di app malevole. Da un pannello web, l'operatore genera APK diverse tra loro — cambiando nome, icona e server di controllo — mascherandole da app bancarie, servizi governativi, streaming per adulti o social network. Il builder rinomina pacchetti e classi e cifra l'indirizzo del server di controllo, rendendo più difficile riconoscere i singoli campioni.
Cosa può fare davvero il malware
Concessi i permessi richiesti — in particolare l'accesso ai servizi di accessibilità, pensati per assistere le persone con disabilità — Flying Eagle cattura credenziali di pagamento, tasti digitati e schermate, mostra finte pagine di accesso sopra le app reali e accede alla fotocamera.
Il successivo Night Dragon, descritto dai ricercatori come un progetto sviluppato separatamente e non come una nuova versione dello stesso codice, offre un pannello più ricco: visione dello schermo in diretta, accesso a SMS e galleria fotografica, registrazione audio e gestione dei file del dispositivo.
Il codice rubato e la sua circolazione
La parte più preoccupante non è tecnica, ma "commerciale". Secondo una chat analizzata dai ricercatori, un soggetto rivendicava l'accesso a 189 server Flying Eagle e l'esfiltrazione di dati dai relativi database. Hunt.io presenta l'episodio come una possibile compromissione, mentre The Hacker News precisa che la rivendicazione non è stata verificata in modo indipendente. Da quel momento il codice sottratto circola su diversi canali Telegram criminali, in versioni modificate e in alcuni casi vendute con assistenza tecnica: una copia "riparata" veniva offerta per 2.000 USDT.
Il pacchetto — Docker, database e strumenti di compilazione già pronti — abbassa la barriera tecnica, pur richiedendo competenze operative per essere usato. Il risultato: da strumento di un solo gruppo, Flying Eagle è diventato una risorsa condivisa da una rete frammentata di attori diversi, senza più un controllo unico su chi lo usa.
Night Dragon: il possibile successore
Il 23 giugno 2026, uno dei canali Telegram che distribuiscono Flying Eagle ha introdotto Night Dragon (夜龙), presentato dagli stessi operatori come un progetto sviluppato in modo indipendente — non una semplice variante. Tra le funzioni annunciate: cattura delle password delle applicazioni finanziarie, una modalità che simula un falso aggiornamento di sistema per nascondere l'attività dell'operatore e la possibilità di occultare l'icona dopo l'installazione.
I ricercatori hanno individuato solo due server collegati, uno dei quali mostrava un pannello con 46 dispositivi risultanti online e 29 collegati attivamente, tutti apparentemente in Cina — senza però la possibilità di confermare se si trattasse di vittime reali o dati di prova. Al 12 luglio 2026 era già in sviluppo una seconda versione.
Da non confondere: il nome "Night Dragon" era già stato usato nel 2011 da McAfee per una campagna di spionaggio contro aziende energetiche. Il kit del 2026 non ha alcuna relazione con quella vicenda: è un framework Android a scopo di frode finanziaria, comparso con lo stesso nome per pura coincidenza.
Riguarda anche l'Italia?
Al momento non ci sono prove che Flying Eagle o Night Dragon stiano colpendo utenti italiani: la campagna documentata punta quasi esclusivamente su cittadini cinesi, con finte schermate di accesso ad Alipay, WeChat e le principali banche locali. Un dettaglio da tenere d'occhio, però: nei messaggi Telegram analizzati compaiono riferimenti a "modelli internazionali", che indicano una possibile — non confermata — volontà di estendere il framework anche fuori dalla Cina.
Il punto non è "arriva in Italia", ma un altro: il metodo — app che sembra ufficiale, distribuita fuori dagli store, permessi troppo ampi — è lo stesso che alimenta da anni le truffe italiane, comprese quelle già raccontate su ScelgoIo a proposito di Rokarolla e delle truffe WhatsApp più diffuse nel 2026.
Come riconoscere un'APK pericolosa
- Arriva tramite link, non tramite store ufficiale. Un'app inviata via SMS, WhatsApp, Telegram o email con un link diretto al file da scaricare è quasi sempre un segnale d'allarme.
- Chiede l'accesso ai servizi di accessibilità. Un'app bancaria o istituzionale normalmente non dovrebbe chiederti di attivare un proprio servizio di accessibilità per funzionare. Se accade, interrompi l'installazione e verifica l'app sul sito ufficiale dell'ente.
- Va installata da uno store APK sconosciuto. Se devi abilitare "origini sconosciute" o scaricare un file .apk da un sito che non conosci, il rischio sale in modo netto.
- Il canale non torna con il sito ufficiale. Prima di installare un'app che dichiara di rappresentare un ente pubblico o un servizio finanziario, verifica sul sito ufficiale quale sia il canale di distribuzione corretto (di norma Google Play o App Store).
Cosa fare se hai già installato un'app sospetta
Se l'app non si lascia rimuovere, il telefono continua a mostrare comportamenti anomali o sono state esposte credenziali finanziarie, scollega temporaneamente il dispositivo dalla rete e valuta un ripristino completo, dopo aver salvato solo foto e documenti sicuri. Per un quadro più ampio dei segnali di compromissione, ho già scritto come capire se un telefono è stato hackerato.
Questo articolo si basa sul report pubblicato il 28 luglio 2026 da Hunt.io con NetAskari, incrociato con The Hacker News e Cyber Security News per la coerenza dei dettagli tecnici. L'infrastruttura dei 170 server, il funzionamento del builder e le capacità dei campioni analizzati in sandbox sono osservazioni dirette dei ricercatori; la compromissione di 189 server e la sottrazione di dati restano invece una rivendicazione emersa in chat criminali, non verificabile in modo indipendente. Non ho testato personalmente il framework: le informazioni derivano dal report pubblicato. Ultima verifica: 29 luglio 2026.
Cosa sappiamo e cosa non sappiamo
- Hunt.io — report originale dell'indagine, con NetAskari
- The Hacker News — sintesi tecnica della scoperta
- Cyber Security News — copertura indipendente sull'infrastruttura
Domande frequenti
Il nome del malware cambia, i server si spostano, ma il metodo resta lo stesso: un'app che sembra ufficiale, distribuita fuori dagli store, con permessi troppo ampi. Tu installi app scaricandole da link ricevuti in chat, o ti affidi solo agli store ufficiali? Scrivilo nei commenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
