{"id":1822,"date":"2026-07-29T08:17:10","date_gmt":"2026-07-29T08:17:10","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/29\/rastros-de-flying-eagle-android-rat-encontrados-en-170-servidores-a-medida-que-circula-el-codigo-fuente-cyberdefensa-mx\/"},"modified":"2026-07-29T08:17:10","modified_gmt":"2026-07-29T08:17:10","slug":"rastros-de-flying-eagle-android-rat-encontrados-en-170-servidores-a-medida-que-circula-el-codigo-fuente-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/29\/rastros-de-flying-eagle-android-rat-encontrados-en-170-servidores-a-medida-que-circula-el-codigo-fuente-cyberdefensa-mx\/","title":{"rendered":"Rastros de Flying Eagle Android RAT encontrados en 170 servidores a medida que circula el c\u00f3digo fuente \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

C\u00f3digo fuente para el \u00e1guila voladora<\/strong> El marco del troyano de acceso remoto (RAT) de Android circula a trav\u00e9s de canales criminales de Telegram. Hunt.io y el investigador independiente NetAskari rastrearon paneles de control y certificados coincidentes hasta 170 servidores de Internet.<\/p>\n

Vincularon el marco a una aplicaci\u00f3n falsa del servicio de Seguridad P\u00fablica \u00ab\u516c\u5b89\u4e00\u7f51\u901a\u529e\u00bb dirigida a usuarios de Android en China. El kit admite captura de pulsaciones de teclas y contrase\u00f1as de pago, grabaci\u00f3n de pantalla, acceso a c\u00e1maras y mensajes de phishing para aplicaciones financieras, de contenido para adultos y de servicios gubernamentales.<\/p>\n

La b\u00fasqueda de Hunt.io en los 30 d\u00edas anteriores de telemetr\u00eda encontr\u00f3 huellas digitales de infraestructura en 170 servidores, un recuento que no establece 170 tel\u00e9fonos infectados, v\u00edctimas, operadores o sistemas de comando y control (C2) confirmados.<\/p>\n

Los investigadores encontraron 158 servidores a trav\u00e9s del t\u00edtulo de la p\u00e1gina AdminPro, el comportamiento de redireccionamiento HTTPS y los encabezados de respuesta coincidentes, luego identificaron 12 m\u00e1s a trav\u00e9s de un certificado predeterminado empaquetado con Flying Eagle. Dijeron que el total probablemente sea conservador porque excluy\u00f3 servidores similares que no devolvieron la redirecci\u00f3n 302 esperada.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Las autoridades chinas aconsejaron a cualquiera que instalara la aplicaci\u00f3n fraudulenta que la eliminara, escaneara el dispositivo, cambiara las contrase\u00f1as de las cuentas afectadas, congelara los canales de pago si se mov\u00edan fondos y reportara el incidente a la polic\u00eda.<\/p>\n

Centro Nacional de Notificaci\u00f3n de Ciberseguridad de China<\/a> advirti\u00f3 el 18 de junio que la aplicaci\u00f3n falsa se estaba distribuyendo desde 110gongan[.]com, asociado con 207.56.30[.]188, y podr\u00eda robar datos de pago y controlar dispositivos de forma remota.<\/p>\n

De acuerdo a investigaci\u00f3n conjunta<\/a> publicado el 28 de julio, el c\u00f3digo Flying Eagle se distribuy\u00f3 como un archivo de 388 MB llamado \u4e2d\u56fd\u9f99.zip<\/strong>o drag\u00f3n chino<\/strong>. Contiene una implementaci\u00f3n completa de Docker con nginx, PHP, MySQL, un servidor WebSocket Node.js, herramientas de compilaci\u00f3n de Android, plantillas de phishing y un certificado de seguridad de la capa de transporte predeterminado.<\/p>\n

El panel permite al operador elegir el nombre de una aplicaci\u00f3n, un \u00edcono, un texto atractivo y una direcci\u00f3n C2, luego produce un APK firmado a partir de una de dos plantillas. El constructor aleatoriza los nombres de paquetes y clases, cifra las URL C2 integradas utilizando AES-128-CBC y agrega de 2,8 MB a 3,5 MB de relleno JSON de baja entrop\u00eda dise\u00f1ado para parecerse a los datos de configuraci\u00f3n leg\u00edtimos del kit de desarrollo de software.<\/p>\n

Flying Eagle es el marco de construcci\u00f3n y control; Hunt.io dijo que las muestras que analiz\u00f3 del constructor fueron detectadas como SpyNote y utilizaron servicios de accesibilidad de Android para escalada de privilegios e inyecci\u00f3n de gestos.<\/p>\n

Los investigadores observaron dos canales de Telegram, SQLRCE0 e Yx Technology, distribuyendo versiones modificadas del marco. Los mensajes revisados \u200b\u200bpor ellos afirmaban que una parte no identificada hab\u00eda comprometido la infraestructura del cliente que conten\u00eda 189 servidores Flying Eagle y hab\u00eda extra\u00eddo datos de la base de datos, pero ninguna de las afirmaciones ha sido confirmada de forma independiente. Yx Technology tambi\u00e9n anunci\u00f3 servicios de retiro de efectivo que cobraban entre el 20% y el 50% del valor de la transacci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El n\u00famero de servidores y la circulaci\u00f3n del c\u00f3digo fuente est\u00e1n documentados, pero no se ha establecido ninguna relaci\u00f3n causal entre ellos.<\/p>\n

SQLRCE0 introdujo un kit de control de Android separado llamado Drag\u00f3n nocturno<\/b> el 23 de junio de 2026. Los investigadores encontraron dos servidores asociados y un panel expuesto que enumeraba 46 dispositivos como en l\u00ednea y 29 como conectados activamente, pero dijeron que no pod\u00edan determinar si las entradas representaban v\u00edctimas o datos de prueba.<\/p>\n

\"\"<\/a><\/div>\n

Hunt.io dice que Night Dragon parece ser una compilaci\u00f3n independiente, con una segunda versi\u00f3n en desarrollo a partir del 12 de julio. El informe establece que SQLRCE0 distribuy\u00f3 Flying Eagle y promocion\u00f3 Night Dragon, pero no establece un c\u00f3digo compartido. Esta no es la campa\u00f1a de espionaje vinculada a China de 2011 McAfee<\/a> llamado Drag\u00f3n Nocturno. El kit 2026 es un crimeware para Android con motivaci\u00f3n financiera.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

C\u00f3digo fuente para el \u00e1guila voladora El marco del troyano de acceso remoto (RAT) de Android circula a trav\u00e9s de canales criminales de Telegram. Hunt.io y el investigador independiente NetAskari rastrearon paneles de control y certificados coincidentes hasta 170 servidores de Internet. Vincularon el marco a una aplicaci\u00f3n falsa del servicio de Seguridad P\u00fablica \u00ab\u516c\u5b89\u4e00\u7f51\u901a\u529e\u00bb […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[75,4137,376,24,4135,4136,4134,1449,2424,4133,209,87],"class_list":["post-1822","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-android","tag-circula","tag-codigo","tag-cyberdefensa-mx","tag-eagle","tag-encontrados","tag-flying","tag-fuente","tag-medida","tag-rastros","tag-rat","tag-servidores"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1822"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1822\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1822"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1822"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}