Flying Eagle RAT verwijderen van Android-apparaten

Wat voor soort malware is Flying Eagle RAT?

Flying Eagle RAT is een Android remote access trojan die als source-code framework wordt verspreid via criminele Telegram-kanalen. Het kan toetsaanslagen en betaalgegevens vastleggen, het scherm van het apparaat opnemen, toegang krijgen tot de camera en phishing-overlays inzetten die gericht zijn op financiële en overheidsapplicaties. De dreiging werd geanalyseerd door onderzoekers van Hunt.io en de onafhankelijke onderzoeker NetAskari, die samen de actieve infrastructuur ervan herleidden tot meer dan 170 internetservers.

Overzicht van Flying Eagle RAT

Flying Eagle RAT is een commercieel verkrijgbare malware-toolkit waarvan de volledige broncode wordt verkocht via criminele Telegram-kanalen. Dit model verlaagt de technische drempel voor aanvallers, waardoor vrijwel elke koper met minimale expertise zijn eigen campagne kan bouwen en uitrollen.

De broncode wordt geleverd in een archief van 388 MB. Het bundelt een Docker-implementatieomgeving, een nginx- en PHP-webserver, een MySQL-database, een Node.js-WebSocket-server, Android-buildtools, phishing-paginasjablonen en een standaard TLS-certificaat.

Operators gebruiken een webgebaseerd bedieningspaneel om de naam, het pictogram, de lokteksten en het command-and-control-serveradres van de vermomde app te configureren. Het paneel genereert vervolgens een ondertekende APK uit een van twee sjablonen, waarbij pakket- en klassennamen worden gerandomiseerd om samples moeilijker te clusteren.

Zodra Flying Eagle RAT op het apparaat van een slachtoffer is geïnstalleerd, misbruikt het de Android Toegankelijkheidsdiensten om verhoogde privileges te verkrijgen en stilzwijgend aanraakbewegingen te injecteren. Hierdoor kan het toetsaanslagen vastleggen, betaalwachtwoorden onderscheppen en met andere applicaties interageren zonder medeweten van de gebruiker.

De RAT ondersteunt ook schermopname en directe cameratoegang, waardoor aanvallers het apparaat van het slachtoffer en de omgeving op afstand kunnen monitoren. Bovendien kan het nep-inlogpagina's over legitieme bank-, overheids- en andere applicaties leggen om verdere inloggegevens te oogsten.

Om detectie te ontwijken, versleutelt de malware de ingebedde command-and-control-serveradressen met AES-128-CBC-versleuteling. Samples bevatten ook tussen de 2,8 en 3,5 MB aan JSON-opvulling met lage entropie die legitieme SDK-configuratiegegevens nabootst, ontworpen om de APK er onschuldig uit te laten zien voor geautomatiseerde scantools.

Volgens onderzoek gepubliceerd door Hunt.io vermomde één gedocumenteerde campagne Flying Eagle RAT als een nep-overheidsdienstapplicatie voor openbare veiligheid, die werd verspreid vanaf het frauduleuze domein 110gongan[.]com. Hunt.io identificeerde meer dan 170 servers die de infrastructuur van het framework draaiden door de titels van AdminPro-panelen, HTTPS-omleidingsgedrag, responsheaders en een gedeeld standaard TLS-certificaat te fingerprinten.

Beveiligingsleveranciers hebben geanalyseerde samples aangemerkt als varianten van SpyNote, een bekende Android RAT-familie, wat gedeelde codepatronen weerspiegelt. Een gerelateerde toolkit genaamd Night Dragon, gepromoot via het Telegram-kanaal SQLRCE0, werd ook ontdekt tijdens dit onderzoek, met een blootgesteld beheerderspaneel dat tientallen actief verbonden slachtofferapparaten onthulde.

Samenvattend kan de aanwezigheid van software zoals Flying Eagle RAT op een apparaat leiden tot ernstige privacyschendingen, financiële verliezen, diefstal van inloggegevens en identiteitsfraude. Malwareontwikkelaars verbeteren hun tools regelmatig, dus toekomstige versies kunnen extra mogelijkheden of geavanceerdere ontwijkingstechnieken bevatten.

Voorbeelden van Android remote access trojans

Flying Eagle RAT geeft zijn operators uitgebreide controle op afstand over geïnfecteerde apparaten, waarbij diefstal van inloggegevens, surveillance en phishing-overlays worden gecombineerd in één aanpasbare toolkit. Doordat het als aankoopbare broncode verkrijgbaar is, kan het door veel verschillende dreigingsactoren worden overgenomen en aangepast.

Vergelijkbare Android remote access trojans zijn onder andere Glitch SPY, Mirax en Oblivion. Kwaadaardige programma's verschillen sterk in hun methoden en doelwitten, maar elke infectie op een Android-apparaat vormt een direct risico voor de veiligheid en privacy van de gebruiker.

Hoe is Flying Eagle RAT mijn apparaat binnengedrongen?

Flying Eagle RAT is verspreid via nep-applicaties die zijn ontworpen om vertrouwde diensten na te bootsen. In ten minste één bevestigd geval werd het gehost op een frauduleuze website die een Chinees overheidsportaal voor openbare veiligheid nabootste, waarbij gebruikers werden aangespoord om te installeren wat een officiële app leek.

Omdat de volledige broncode van de RAT via criminele Telegram-kanalen wordt verkocht, kunnen verschillende dreigingsactoren het via geheel verschillende vectoren inzetten. Waarschijnlijke methoden zijn onder andere nep-bankapps, phishing-links verspreid via berichtenplatforms, onofficiële app-stores en misleidende socialemediaberichten.

Meer in het algemeen verspreidt Android-malware zich vaak via app-stores van derden, kwaadaardige e-mailbijlagen, misleidende online advertenties en nep-meldingen voor software-updates. Het uitsluitend downloaden van applicaties uit de officiële Google Play Store verlaagt het risico op infectie aanzienlijk.

Hoe kunt u de installatie van malware voorkomen?

Download applicaties alleen uit vertrouwde bronnen zoals de Google Play Store of officiële websites van ontwikkelaars. Controleer gebruikersbeoordelingen en bekijk de rechten die een app aanvraagt voordat u installeert. Wees vooral op uw hoede voor apps die om toegang tot de Toegankelijkheidsdiensten vragen zonder een duidelijk, vermeld doel.

Vermijd het volgen van links in ongevraagde e-mails, sms-berichten of socialemediaberichten, en laad geen APK-bestanden van buiten de officiële store (sideloaden). Houd uw apparaat en alle geïnstalleerde apps up-to-date en gebruik betrouwbare mobiele beveiligingssoftware om regelmatig op dreigingen te scannen.

Snelmenu:

• Inleiding
• Hoe verwijdert u de browsegeschiedenis uit de Chrome-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Chrome-webbrowser?
• Hoe reset u de Chrome-webbrowser?
• Hoe verwijdert u de browsegeschiedenis uit de Firefox-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Firefox-webbrowser?
• Hoe reset u de Firefox-webbrowser?
• Hoe verwijdert u potentieel ongewenste en/of kwaadaardige applicaties?
• Hoe start u het Android-apparaat op in "Veilige modus"?
• Hoe controleert u het batterijgebruik van verschillende applicaties?
• Hoe controleert u het datagebruik van verschillende applicaties?
• Hoe installeert u de nieuwste software-updates?
• Hoe reset u het systeem naar de standaardstatus?
• Hoe schakelt u applicaties met beheerdersrechten uit?

Browsegeschiedenis verwijderen uit de Chrome-webbrowser:

Tik op de knop "Menu" (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Tik op "Browsegegevens wissen", selecteer het tabblad "GEAVANCEERD", kies het tijdsbereik en de gegevenstypen die u wilt verwijderen en tik op "Gegevens wissen".

[Terug naar de inhoudsopgave]

Browsermeldingen uitschakelen in de Chrome-webbrowser:

Tik op de knop "Menu" (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Instellingen" in het geopende vervolgkeuzemenu.

Scroll omlaag totdat u de optie "Site-instellingen" ziet en tik erop. Scroll omlaag totdat u de optie "Meldingen" ziet en tik erop.

Zoek de websites die browsermeldingen versturen, tik erop en klik op "Wissen en resetten". Hiermee worden de rechten verwijderd die aan deze websites zijn verleend om meldingen te versturen. Zodra u dezelfde site echter opnieuw bezoekt, kan deze opnieuw om toestemming vragen. U kunt kiezen of u deze rechten al dan niet verleent (als u kiest om te weigeren, gaat de website naar de sectie "Geblokkeerd" en zal deze u niet meer om toestemming vragen).

[Terug naar de inhoudsopgave]

De Chrome-webbrowser resetten:

Ga naar "Instellingen", scroll omlaag totdat u "Apps" ziet en tik erop.

Scroll omlaag totdat u de applicatie "Chrome" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "OPSLAG BEHEREN", vervolgens op "ALLE GEGEVENS WISSEN" en bevestig de actie door op "OK" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens wist. Dit betekent dat alle opgeslagen logins/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult zich ook opnieuw moeten aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Browsegeschiedenis verwijderen uit de Firefox-webbrowser:

Tik op de knop "Menu" (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Scroll omlaag totdat u "Privégegevens wissen" ziet en tik erop. Selecteer de gegevenstypen die u wilt verwijderen en tik op "GEGEVENS WISSEN".

[Terug naar de inhoudsopgave]

Browsermeldingen uitschakelen in de Firefox-webbrowser:

Bezoek de website die browsermeldingen verstuurt, tik op het pictogram dat links van de URL-balk wordt weergegeven (het pictogram is niet noodzakelijk een "Slot") en selecteer "Site-instellingen bewerken".

Vink in de geopende pop-up de optie "Meldingen" aan en tik op "WISSEN".

[Terug naar de inhoudsopgave]

De Firefox-webbrowser resetten:

Ga naar "Instellingen", scroll omlaag totdat u "Apps" ziet en tik erop.

Scroll omlaag totdat u de applicatie "Firefox" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "GEGEVENS WISSEN" en bevestig de actie door op "VERWIJDEREN" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens wist. Dit betekent dat alle opgeslagen logins/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult zich ook opnieuw moeten aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Potentieel ongewenste en/of kwaadaardige applicaties verwijderen:

Ga naar "Instellingen", scroll omlaag totdat u "Apps" ziet en tik erop.

Scroll omlaag totdat u een potentieel ongewenste en/of kwaadaardige applicatie ziet, selecteer deze en tik op "Verwijderen". Als u om een of andere reden de geselecteerde app niet kunt verwijderen (u krijgt bijvoorbeeld een foutmelding), kunt u proberen de "Veilige modus" te gebruiken.

[Terug naar de inhoudsopgave]

Het Android-apparaat opstarten in "Veilige modus":

De "Veilige modus" in het Android-besturingssysteem schakelt tijdelijk het uitvoeren van alle applicaties van derden uit. Deze modus gebruiken is een goede manier om verschillende problemen te diagnosticeren en op te lossen (bijvoorbeeld het verwijderen van kwaadaardige applicaties die gebruikers verhinderen dit te doen wanneer het apparaat "normaal" werkt).

Druk op de knop "Aan/uit" en houd deze ingedrukt totdat u het scherm "Uitschakelen" ziet. Tik op het pictogram "Uitschakelen" en houd het ingedrukt. Na een paar seconden verschijnt de optie "Veilige modus" en kunt u deze uitvoeren door het apparaat opnieuw op te starten.

[Terug naar de inhoudsopgave]

Het batterijgebruik van verschillende applicaties controleren:

Ga naar "Instellingen", scroll omlaag totdat u "Apparaatonderhoud" ziet en tik erop.

Tik op "Batterij" en controleer het gebruik van elke applicatie. Legitieme/echte applicaties zijn ontworpen om zo weinig mogelijk energie te gebruiken om de beste gebruikerservaring te bieden en energie te besparen. Daarom kan een hoog batterijgebruik erop wijzen dat de applicatie kwaadaardig is.

[Terug naar de inhoudsopgave]

Het datagebruik van verschillende applicaties controleren:

Ga naar "Instellingen", scroll omlaag totdat u "Verbindingen" ziet en tik erop.

Scroll omlaag totdat u "Datagebruik" ziet en selecteer deze optie. Net als bij de batterij zijn legitieme/echte applicaties ontworpen om het datagebruik zoveel mogelijk te minimaliseren. Dit betekent dat een enorm datagebruik kan wijzen op de aanwezigheid van een kwaadaardige applicatie. Houd er rekening mee dat sommige kwaadaardige applicaties mogelijk zijn ontworpen om alleen te werken wanneer het apparaat is verbonden met een draadloos netwerk. Om deze reden moet u zowel het mobiele als het Wi-Fi-datagebruik controleren.

Als u een applicatie vindt die veel data gebruikt terwijl u deze nooit gebruikt, raden wij u ten zeerste aan deze zo snel mogelijk te verwijderen.

[Terug naar de inhoudsopgave]

De nieuwste software-updates installeren:

Het up-to-date houden van de software is een goede gewoonte als het gaat om de veiligheid van het apparaat. De apparaatfabrikanten brengen voortdurend verschillende beveiligingspatches en Android-updates uit om fouten en bugs op te lossen die door cybercriminelen kunnen worden misbruikt. Een verouderd systeem is veel kwetsbaarder, en daarom moet u er altijd voor zorgen dat de software van uw apparaat up-to-date is.

Ga naar "Instellingen", scroll omlaag totdat u "Software-update" ziet en tik erop.

Tik op "Updates handmatig downloaden" en controleer of er updates beschikbaar zijn. Zo ja, installeer ze dan onmiddellijk. Wij raden ook aan de optie "Updates automatisch downloaden" in te schakelen - hiermee kan het systeem u op de hoogte stellen zodra een update wordt uitgebracht en/of deze automatisch installeren.

[Terug naar de inhoudsopgave]

Het systeem resetten naar de standaardstatus:

Het uitvoeren van een "Fabrieksreset" is een goede manier om alle ongewenste applicaties te verwijderen, de systeeminstellingen naar de standaard te herstellen en het apparaat in het algemeen op te schonen. U moet er echter rekening mee houden dat alle gegevens op het apparaat worden verwijderd, waaronder foto's, video-/audiobestanden, telefoonnummers (opgeslagen op het apparaat, niet op de simkaart), sms-berichten, enzovoort. Met andere woorden, het apparaat wordt hersteld naar de oorspronkelijke staat.

U kunt ook de basissysteeminstellingen en/of eenvoudigweg de netwerkinstellingen herstellen.

Ga naar "Instellingen", scroll omlaag totdat u "Over de telefoon" ziet en tik erop.

Scroll omlaag totdat u "Resetten" ziet en tik erop. Kies nu de actie die u wilt uitvoeren:
"Instellingen resetten" - alle systeeminstellingen naar de standaard herstellen;
"Netwerkinstellingen resetten" - alle netwerkgerelateerde instellingen naar de standaard herstellen;
"Fabrieksinstellingen herstellen" - het hele systeem resetten en alle opgeslagen gegevens volledig verwijderen;

[Terug naar de inhoudsopgave]

Applicaties met beheerdersrechten uitschakelen:

Als een kwaadaardige applicatie privileges op beheerdersniveau krijgt, kan deze het systeem ernstig beschadigen. Om het apparaat zo veilig mogelijk te houden, moet u altijd controleren welke apps dergelijke privileges hebben en degene uitschakelen die dat niet zouden moeten hebben.

Ga naar "Instellingen", scroll omlaag totdat u "Vergrendelscherm en beveiliging" ziet en tik erop.

Scroll omlaag totdat u "Andere beveiligingsinstellingen" ziet, tik erop en tik vervolgens op "Apps voor apparaatbeheer".

Identificeer applicaties die geen beheerdersrechten zouden moeten hebben, tik erop en tik vervolgens op "DEACTIVEREN".

Veelgestelde vragen (FAQ)

Mijn Android-apparaat is geïnfecteerd met Flying Eagle RAT-malware, moet ik mijn opslagapparaat formatteren om het te verwijderen?

Formatteren is zelden nodig voor het verwijderen van malware. Het draaien van een betrouwbare mobiele beveiligingsapplicatie zoals Combo Cleaner zou voldoende moeten zijn om Flying Eagle RAT op uw apparaat te detecteren en te verwijderen.

Wat zijn de grootste problemen die Flying Eagle RAT-malware kan veroorzaken?

Flying Eagle RAT kan betaalgegevens en gevoelige inloggegevens stelen, alles wat op uw scherm wordt getoond opnemen en nep-inlogpagina's over legitieme apps weergeven om extra inloggegevens vast te leggen. Deze mogelijkheden kunnen leiden tot financiële verliezen, accountovernames en identiteitsdiefstal.

Wat is het doel van Flying Eagle RAT-malware?

De meeste malware-aanvallen zijn financieel gemotiveerd. De redenen achter infecties kunnen echter ook amusement, persoonlijke wraakacties, verstoring van diensten, hacktivisme of geopolitieke motieven omvatten.

Hoe is Flying Eagle RAT-malware mijn Android-apparaat binnengedrongen?

Flying Eagle RAT is verspreid via nep-overheids- en openbare-veiligheidsapps op frauduleuze websites. De broncode wordt verkocht via criminele Telegram-kanalen, dus verschillende operators kunnen het ook verspreiden via phishing-links, onofficiële app-stores of misleidende socialemediaberichten.

Beschermt Combo Cleaner mij tegen malware?

Combo Cleaner is in staat om vrijwel alle bekende malware-infecties te detecteren en te verwijderen. Het uitvoeren van een volledige systeemscan wordt aanbevolen, aangezien geavanceerde dreigingen zoals Flying Eagle RAT zich diep in het apparaat kunnen nestelen.