Android RAT「Flying Eagle」のソースコードが流通、関連する170台のサーバーを研究者が確認

Android端末を遠隔操作するための不正ツール「Flying Eagle」のソースコードが犯罪者向けTelegramチャンネルで流通し、研究者が特徴の一致する170台のインターネット上のサーバーを確認したと報告されています。Flying Eagleは偽の公安サービスアプリにも関連付けられており、画面録画やキー入力、決済パスワードの窃取など多くの機能を備えています。ただし、確認された170台という数字は被害者数を意味するものではありません。
The Hacker News：Flying Eagle Android RAT Traces Found on 170 Servers as Source Code Circulates

この記事のポイント

Android向けRATフレームワーク「Flying Eagle」のソースコードが犯罪者向けTelegramチャンネルで流通しています。
Hunt.ioと独立系研究者NetAskariは、Flying Eagleと一致する特徴を持つ170台のインターネット上のサーバーを確認しました。
170台という数字は、170人の被害者や170台の感染端末、170人の攻撃者、170台すべてがC2サーバーであることを示すものではありません。
Flying Eagleは、中国の公安サービスを装った偽Androidアプリと関連付けられており、決済パスワードやキー入力の窃取、画面録画、カメラ操作などに対応しています。
流通しているアーカイブにはDocker環境やWebサーバー、データベース、Androidビルドツール、フィッシングテンプレートなどが含まれています。
研究者は別のAndroid犯罪ツール「Night Dragon」も確認していますが、Flying Eagleとのコード共有は確認されていません。

この記事に出てくる専門用語

RAT（Remote Access Trojan） 攻撃者が感染した端末を遠隔操作するために使うマルウェアです。端末内の情報取得、画面監視、カメラ操作などの機能を持つ場合があります。
C2（Command and Control） マルウェアに命令を送ったり、感染端末から情報を受け取ったりするために攻撃者が利用する通信基盤を指します。
APK Androidアプリを配布・インストールする際に使用されるパッケージファイル形式です。
Android Accessibility Services 本来は端末操作を補助するためのAndroid機能ですが、悪用されると画面操作やジェスチャー入力などを不正に実行される可能性があります。
AES-128-CBC AESと呼ばれる共通鍵暗号方式を128ビット鍵とCBCモードで利用する方式です。Flying Eagleでは、埋め込まれたC2 URLの暗号化に使用されていると報告されています。
WebSocket クライアントとサーバーの間で双方向通信を継続的に行うための通信方式です。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

Flying Eagleの痕跡を持つ170台のサーバーを研究者が確認

Hunt.ioと独立系研究者NetAskariは、Android向けRATフレームワーク「Flying Eagle」に関連する特徴を持つインターネット上のサーバーを追跡し、合計170台を確認したと報告しています。調査では、まず「AdminPro」という管理画面のページタイトルやHTTPS通信時のリダイレクト挙動、HTTPレスポンスヘッダーなど複数の特徴を組み合わせ、158台のサーバーを特定しました。その後、Flying Eagleに初期状態で含まれているTLS証明書と一致するサーバーを調べ、さらに12台を追加で確認しています。

ただし、この「170台」という数字の解釈には注意が必要です。研究者は、170台すべてが実際に攻撃へ使用されたC2サーバーであるとも、170人の攻撃者が存在するとも、170台のAndroid端末が感染しているとも述べていません。あくまでFlying Eagleのインフラと一致する技術的特徴が確認されたサーバーの数です。また、期待されるHTTP 302リダイレクトを返さなかった類似サーバーは集計から除外されているため、研究者は実際の数がさらに多い可能性もあるとしています。

さらに重要なのは、ソースコードが流通していることと、170台のサーバーが確認されたことの間に直接的な因果関係は確認されていない点です。ソースコードが拡散した結果としてサーバー数が増えたと断定することはできず、現時点で確認されているのは「Flying Eagleのコードが流通していること」と「一致するインフラが多数存在していること」の2点です。

中国の公安サービスを装った偽Androidアプリと関連

Flying Eagleは、中国の公安サービスを装う偽アプリ「公安一网通办」に関連付けられています。中国の国家サイバーセキュリティ通知センターは2026年6月18日、この偽アプリについて注意喚起を行い、110gongan[.]comから配布されていたことや、207.56.30[.]188というIPアドレスとの関連を示しています。偽アプリはAndroid端末上で動作し、決済関連データの窃取や端末の遠隔操作を可能にするとされています。

報告されたFlying Eagleの機能には、決済用パスワードの取得、キー入力の記録、画面録画、カメラへのアクセスなどがあります。さらに、金融サービス、成人向けコンテンツ、政府系サービスなどを装ったフィッシング画面を表示する機能も備えているとされています。このため、単に端末内の情報を盗むだけでなく、利用者の操作に合わせて認証情報や金銭に関わる情報を取得することを目的とした運用も可能な構成となっています。

中国当局は、問題の偽アプリをインストールしてしまった利用者に対し、アプリを削除した上で端末をスキャンし、影響を受けた可能性のあるアカウントのパスワードを変更するよう呼びかけています。また、実際に資金移動が発生している場合には決済手段を凍結し、警察へ届け出ることも推奨しています。今回の事例は、公式サービスを装うアプリがAndroid端末への侵入口として利用されるリスクを示しています。

388MBのアーカイブに攻撃基盤一式を収録

Hunt.ioが2026年7月28日に公開した共同調査によると、Flying Eagleのコードは「中国龙.zip」、英語では「Chinese Dragon」と呼ばれる約388MBのアーカイブとして配布されていました。このアーカイブには単なるAndroidマルウェアのソースコードだけではなく、攻撃インフラを構築するために必要な複数のコンポーネントが含まれています。

具体的には、Dockerを利用したデプロイ環境、nginx、PHP、MySQL、Node.jsベースのWebSocketサーバー、Androidアプリのビルドツール、フィッシング用テンプレート、さらに初期設定のTLS証明書などが同梱されています。管理パネルからは、作成するAndroidアプリの名称やアイコン、利用者に表示する誘導文、接続先となるC2アドレスなどを設定でき、2種類のテンプレートのいずれかを使って署名済みAPKを生成できるとされています。

生成処理では、Androidアプリのパッケージ名やクラス名をランダム化するほか、埋め込まれるC2 URLをAES-128-CBCで暗号化します。また、正規のソフトウェア開発キットの設定データに見えるよう、2.8MBから3.5MB程度の低エントロピーなJSONデータを追加する機能も確認されています。これらの機能は、Flying Eagleが単一のマルウェアではなく、Android向けの不正アプリを生成・管理するための包括的なビルダー兼制御フレームワークとして設計されていることを示しています。

生成されたサンプルはSpyNoteとして検出

Flying Eagleそのものは、Android向け不正アプリを生成し、感染端末を管理するためのビルダーおよび制御フレームワークです。Hunt.ioによると、Flying Eagleのビルダーから生成したサンプルを分析したところ、セキュリティ製品から「SpyNote」として検出されたものが確認されています。SpyNoteはAndroid端末を遠隔操作するタイプのマルウェアとして以前から知られています。

研究者が確認したサンプルでは、AndroidのAccessibility Servicesが利用されていました。この機能は本来、利用者の端末操作を補助する目的で提供されていますが、不正アプリに悪用された場合には、攻撃者が端末上でより強い操作能力を得るために使用される可能性があります。Flying Eagleから生成されたサンプルでは、権限の拡大やジェスチャー操作の注入にAccessibility Servicesが使われていたと報告されています。

このような仕組みでは、マルウェアが単にデータを外部送信するだけでなく、画面上で利用者に代わって操作を実行できる点が問題になります。今回の調査では、画面録画、カメラアクセス、キー入力の取得、フィッシング画面の表示などもFlying Eagleの機能として確認されており、Android端末上の操作と情報収集を幅広く組み合わせられる構成となっています。一方で、元記事では個々の機能が実際の被害端末でどの程度使用されたかまでは明らかにされていません。

Telegramでは改変版が流通、別の「Night Dragon」も登場

研究者は、SQLRCE0とYx Technologyという2つのTelegramチャンネルで、Flying Eagleを改変したバージョンが配布されていることも確認しています。研究者が確認したメッセージでは、身元不明の第三者がFlying Eagleの顧客インフラを侵害し、189台のサーバーとデータベース情報を取得したという主張も掲載されていました。ただし、この主張については独立した確認が取れておらず、事実として確定しているものではありません。

また、Yx Technologyでは、不正に取得した資金を現金化するサービスとみられる広告も確認され、取引金額の20％から50％を手数料として設定していたと報告されています。一方、SQLRCE0は2026年6月23日、「Night Dragon」と呼ばれる別のAndroid制御ツールを紹介しました。研究者はNight Dragonに関連するとみられる2台のサーバーを発見し、公開状態になっていた管理パネルも確認しています。

その管理画面には46台のデバイスがオンライン、29台がアクティブ接続中として表示されていましたが、これらが実際の被害端末なのか、開発やテストに使用されたデータなのかは判別できなかったとされています。Hunt.ioによると、Night DragonはFlying Eagleとは独立して開発されたものとみられ、2026年7月12日時点では第2版も開発中でした。SQLRCE0がFlying Eagleを配布し、Night Dragonも宣伝していたことは確認されていますが、両者に共通コードが存在することは確認されていません。

170という数字だけで被害規模を判断しないことが重要

Flying Eagleの調査では170台のサーバーが確認されているため、大規模な感染被害を連想しやすいものの、この数値をそのまま被害者数として扱うことはできません。研究者自身も、170という数字は感染したスマートフォン数、被害者数、攻撃者数、あるいは確認済みC2サーバー数を示すものではないと明確に説明しています。確認されたのは、Flying Eagleに関連する管理画面や証明書、HTTPレスポンスなど、一定のインフラ上の特徴です。

一方で、Flying Eagleのコード一式が犯罪者向けのTelegramチャンネルで流通し、不正アプリのビルドからサーバー側の管理環境まで構築できる状態になっていることは確認されています。このため、Flying Eagleを利用できる主体が増える可能性には注意が必要です。ただし、ソースコードの流通が170台のサーバー確認につながったという因果関係は現時点では立証されておらず、両者を直接結び付けることはできません。

利用者側では、政府機関や金融サービスを装ったAndroidアプリを公式ストア以外から安易にインストールしないことが重要です。今回、中国当局は問題の偽アプリをインストールした可能性がある利用者に対し、削除、端末スキャン、関連アカウントのパスワード変更を推奨しています。さらに資金移動が確認された場合には決済チャネルを停止し、警察へ届け出るよう案内しています。Flying Eagleのような不正ツールでは、端末操作と認証情報窃取の両方が組み合わされるため、端末だけでなく関連アカウントや決済手段も含めた対応が必要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）