האפליקציה נראית כמו שירות ממשלתי לכל דבר: לוגו של רשות ציבורית סינית, ממשק מוכר, ובקשה אחת קטנה כשמתקינים אותה, הרשאת נגישות. מי שמאשר אותה נותן לאפליקציה לראות כל מה שמופיע על המסך וללחוץ במקומו. מאותו רגע הטלפון כבר לא באמת שלו.

חוקרי Hunt.io, יחד עם החוקר העצמאי NetAskari, פרסמו ב-28 ביולי דוח שמתחקה אחרי הכלי שמאחורי אפליקציות כאלה. השם שלו Flying Eagle (飞鹰, "העיט"), והוא לא נוזקה בודדת אלא מסגרת שלמה לבנייה ולשליטה: תוקף ממלא טופס בפאנל, מקבל אפליקציית אנדרואיד חתומה ומוכנה, ומנהל דרך אותו פאנל את המכשירים שנדבקו. החוקרים מצאו את המסגרת רצה על 170 שרתים. הסיבה שהיא פרוסה כל כך רחב פשוטה: קוד המקור שלה נגנב בתחילת 2026, והוא מסתובב מאז בין ערוצי טלגרם. בהמשך נראה איך המסגרת בונה את האפליקציה, מה היא עושה על המכשיר, ולמה דליפה אחת הפכה אותה לבעיה של הרבה תוקפים במקביל.

מה זה Flying Eagle, ולמי הוא נמכר

מה שהופך את Flying Eagle למסוכן זה לא יכולת טכנית חדשה, אלא הזמינות שלו. כל הכלי נארז כמערכת מוכנה להרצה בתוך ארכיון בודד בנפח 388 מגה-בייט (בשם 中国龙.zip, "הדרקון הסיני"), שכולל שרת web, מסד נתונים, שרת WebSocket לתקשורת עם המכשירים, כלי בנייה של אנדרואיד, ותבניות פישינג מוכנות מראש לאפליקציות של סטרימינג, רשתות חברתיות ובנקים. הקונה לא צריך לדעת לכתוב נוזקה. הוא מגדיר שם אפליקציה, אייקון, טקסט פיתוי וכתובת שרת, והמערכת מייצרת עבורו קובץ APK חתום. את המכשירים שנדבקו הוא רואה מפאנל ניהול בשם AdminPro, אותו פאנל שלפי החתימה הייחודית שלו החוקרים איתרו אחר כך את מרבית השרתים.

דוגמה מוחשית לאיך זה נראה מצד הקורבן הופיעה בסין כבר ביוני 2026, כשהתקשורת הממלכתית הזהירה מפני אפליקציה מזויפת שהתחזתה לשירות של רשות ביטחון הציבור (公安一网通办). האפליקציה הופצה מהאתר 110gongan.com (gongan פירושו "ביטחון הציבור" בסינית), ותחת מעטה של שירות ממשלתי לגיטימי היא ביקשה בדיוק את אותה הרשאת נגישות. השרת שאליו דיווחה הובילה לכתובת שמתארחת בהונג קונג. זה בדיוק סוג הפיתוי שמסגרת כמו Flying Eagle מייצרת בלחיצת כפתור: מראה אמין, בקשת הרשאה אחת, ושליטה מלאה מיד אחריה.

איך נבנית אפליקציה שמתחמקת מאנטי-וירוס

תוקף שמייצר עשרות קבצים מאותה מסגרת רוצה ששני דברים לא יקרו: ששתי אפליקציות לא ייראו זהות, ושאנטי-וירוס לא יזהה אותן לפי חתימה קבועה. Flying Eagle מטפל בזה בשלב הבנייה. שם החבילה הקבוע בקוד (com.icontrol.protector) מוחלף בשם אקראי שנשמע תמים (למשל com.cloud.manager.core), שמות המחלקות בקוד משתנים למחרוזות אקראיות, וכתובת שרת השליטה (C2, השרת שממנו התוקף שולח פקודות ואליו הנתונים הגנובים זורמים) מוצפנת בתוך הקובץ ב-AES-128-CBC כך שלא ניתן לקרוא אותה ישירות. אלא שהמפתח להצפנה הזאת נגזר מסיסמת ברירת מחדל קבועה שמוטמעת בכלי עצמו, כך שההצפנה עוצרת מבט חטוף בקובץ, לא חוקר שיודע איפה לחפש. על גבי כל זה המערכת מוסיפה בין 2.8 ל-3.5 מגה-בייט של JSON מזויף, שנראה כמו קובצי הגדרה לגיטימיים של רכיבי פיתוח. המטרה, בלשון החוקרים, היא "להימנע מהתראות אנטי-וירוס תוך שמירה על מראה של מידע לגיטימי". כל APK יוצא אחר, וכולם עושים את אותו הדבר.

מה האפליקציה עושה ברגע שיש לה נגישות

הרשאת הנגישות של אנדרואיד נועדה לעזור למשתמשים עם מוגבלויות, אבל היא גם נותנת לאפליקציה שמחזיקה בה שליטה כמעט מלאה על המכשיר. Flying Eagle מנצל אותה עד הסוף. הוא מזריק תנועות מגע משלו (דרך הפונקציה dispatchGesture), כלומר לוחץ ומחליק על המסך בעצמו בלי שהמשתמש נוגע. רכיב אחד מיועד ללכידת סיסמת התשלום, אחר לתיעוד הקלדות, אחר לצילום המסך, ואחר להצגת חלונות פישינג שמכסים אפליקציה אמיתית ומבקשים פרטי אימות. יש גם גישה למצלמה. היעדים הם ארנקים דיגיטליים ואפליקציות בנק סיניות כמו Alipay ו-WeChat. כדי להסתיר את הפעילות בזמן שהיא מתרחשת, הנוזקה יכולה להשחיר את המסך ולהציג עליו מסך "עדכון מערכת" מזויף, בזמן שברקע היא מרוקנת את החשבון. אחד מערוצי הטלגרם שהפיצו את הכלי אפילו צירף הוראות מסודרות איך למשוך כספים מ-Alipay ומ-WeChat, וכינה את הקורבנות "דגים".

170 שרתים, אבל מה המספר הזה באמת אומר

את המספר 170 צריך לקרוא בזהירות, וגם החוקרים מקפידים על כך. 158 מהשרתים אותרו לפי שתי חתימות: כותרת הפאנל AdminPro, והתנהגות הפניה מסוימת של השרת. עוד 12 נמצאו לפי אותה תעודת TLS ברירת מחדל שכל התקנה מגיעה איתה. רוב השרתים מתארחים בהונג קונג, עם נוכחות קטנה יותר בארצות הברית, סין, פינלנד, מלזיה, קנדה ויפן. מה שהמספר לא אומר הוא כמה טלפונים נדבקו בפועל, כמה תוקפים שונים עומדים מאחורי השרתים, או אילו מהם עדיין פעילים. החוקרים כותבים שהספירה "ככל הנראה שמרנית", כי שרתים שהתאימו לחלק מהסימנים אך לא לכולם לא נכללו בה. בפאנל של גרסת ההמשך, למשל, נראו "46 מכשירים מחוברים ו-29 פעילים", אבל החוקרים לא הצליחו לקבוע אם מדובר בקורבנות אמיתיים או בעמוד בדיקה עם נתוני דמה.

הדליפה שהפכה כלי אחד להרבה

החלק שמסביר את ההיקף הוא דווקא לא טכני. לפי הדוח, קוד המקור של Flying Eagle נגנב בתחילת 2026, יחד עם קרוב ל-200 מסדי נתונים של לקוחות המפתח המקורי. מאז מסתובבות גרסאות שונות שלו בין קבוצות פשע. שני ערוצי טלגרם בלטו בהפצה: אחד הפיץ את הארכיון בחינם ושימש כתמיכה מבצעית, והשני הציע גרסה "מתוקנת" של הקוד תמורת 2,000 דולר בקריפטו. אף אחד מהם, מדגישים החוקרים, אינו המפתח המקורי: "שני הערוצים מפיצים גרסאות מתוקנות של בסיס קוד שכנראה מופץ בהרחבה בין קבוצות פשע לאחר הפריצה". החוקרים עצמם הגיעו לקוד דרך טעות קטנה: שם משתנה סביבה שנכתב בשגיאת כתיב (SECRIT_KEY) בתוך אחד הארכיונים הוביל אותם לשרת חשוף בפינלנד, שהחזיק מראה מלא של קוד המקור, יותר מ-2,300 קבצים שנאספו במרץ 2026. מאותו מפעיל שמכר את הגרסה המתוקנת צמח גם כלי חדש, Night Dragon, שהוצג ביוני 2026 ככלי פשע פיננסי לאנדרואיד עם יכולות דומות, וגרסה שנייה שלו הייתה בפיתוח כבר באמצע יולי.

זה הדפוס שחשוב להבין כאן. ברגע שמסגרת שלמה כזאת דלפה, אין יותר מפתח אחד שאפשר לעצור. מי שיודע להתקין ארכיון Docker ולמלא טופס יכול להפעיל קמפיין הונאה בנקאית שלם, וכל דליפה כזאת מורידה עוד את רף הכניסה. זה בדיוק מה שחוזר בעולם נוזקות הבנקאות לאנדרואיד כבר שנים, ו-Flying Eagle הוא הדוגמה העדכנית לו.

מה זה אומר בפועל

הקמפיין הספציפי הזה מכוון לגולשים בסין, דרך פיתוי של אפליקציה ממשלתית ואפליקציות תשלום סיניות, ולא לטלפונים בישראל. אבל המודל שמאחוריו אינו סיני בכלל: נוזקות בנקאות לאנדרואיד שמנצלות את הרשאת הנגישות ונבנות ממסגרות שנמכרות או דלפו הן אותו דפוס שמפעיל קמפיינים בכל העולם. שתי מסקנות מעשיות מכאן. התקינו אפליקציות רק מהחנות הרשמית, לא מקישורים שמגיעים בהודעה או באתר. וכשאפליקציה מבקשת הרשאת נגישות, עצרו: לעורך תמונות או ל"שירות ממשלתי" אין שום סיבה אמיתית לבקש אותה, ורשויות ממשל לא מפיצות אפליקציות דרך קישור.