So entfernen Sie Flying Eagle RAT von Android-Geräten

Welche Art von Malware ist Flying Eagle RAT?

Flying Eagle RAT ist ein Android-Remote-Access-Trojaner, der als Quellcode-Framework über kriminelle Telegram-Kanäle verbreitet wird. Er kann Tastatureingaben und Zahlungsdaten erfassen, den Bildschirm des Geräts aufzeichnen, auf die Kamera zugreifen und Phishing-Overlays einsetzen, die auf Finanz- und Behördenanwendungen abzielen. Die Bedrohung wurde von Forschern bei Hunt.io und dem unabhängigen Forscher NetAskari analysiert, die gemeinsam ihre aktive Infrastruktur auf über 170 Internetserver zurückverfolgten.

Flying Eagle RAT Übersicht

Flying Eagle RAT ist ein kommerziell erhältliches Malware-Toolkit, dessen kompletter Quellcode über kriminelle Telegram-Kanäle verkauft wird. Dieses Modell senkt die technische Hürde für Angreifer und ermöglicht praktisch jedem Käufer, mit minimalem Fachwissen seine eigene Kampagne aufzubauen und einzusetzen.

Der Quellcode ist in einem 388 MB großen Archiv verpackt. Es bündelt eine Docker-Bereitstellungsumgebung, einen nginx- und PHP-Webserver, eine MySQL-Datenbank, einen Node.js-WebSocket-Server, Android-Build-Tools, Phishing-Seiten-Vorlagen und ein Standard-TLS-Zertifikat.

Betreiber verwenden ein webbasiertes Bedienfeld, um den Namen, das Symbol, den Ködertext und die Adresse des Command-and-Control-Servers der getarnten App zu konfigurieren. Das Bedienfeld generiert dann eine signierte APK aus einer von zwei Vorlagen, wobei Paket- und Klassennamen randomisiert werden, um die Zusammenfassung von Samples zu erschweren.

Einmal auf dem Gerät eines Opfers installiert, missbraucht Flying Eagle RAT die Android-Bedienungshilfen, um erhöhte Rechte zu erlangen und heimlich Berührungsgesten einzuschleusen. Dadurch kann es Tastatureingaben erfassen, Zahlungspasswörter abfangen und ohne Wissen des Nutzers mit anderen Anwendungen interagieren.

Der RAT unterstützt außerdem Bildschirmaufnahmen und direkten Kamerazugriff, sodass Angreifer das Gerät des Opfers und dessen Umgebung aus der Ferne überwachen können. Zusätzlich kann es gefälschte Anmeldeseiten über legitime Banking-, Behörden- und andere Anwendungen legen, um weitere Zugangsdaten abzugreifen.

Um der Erkennung zu entgehen, verschlüsselt die Malware ihre eingebetteten Command-and-Control-Serveradressen mit AES-128-CBC-Verschlüsselung. Die Samples enthalten zudem zwischen 2,8 und 3,5 MB niedrigentropische JSON-Auffülldaten, die legitime SDK-Konfigurationsdaten nachahmen und darauf ausgelegt sind, die APK für automatisierte Scan-Tools harmlos erscheinen zu lassen.

Laut von Hunt.io veröffentlichten Untersuchungen tarnte eine dokumentierte Kampagne Flying Eagle RAT als gefälschte Anwendung eines Behördendienstes für öffentliche Sicherheit und verbreitete sie über die betrügerische Domain 110gongan[.]com. Hunt.io identifizierte über 170 Server, die die Infrastruktur des Frameworks betrieben, indem AdminPro-Bedienfeldtitel, HTTPS-Weiterleitungsverhalten, Antwort-Header und ein gemeinsam genutztes Standard-TLS-Zertifikat per Fingerprinting erfasst wurden.

Sicherheitsanbieter haben analysierte Samples als Varianten von SpyNote gekennzeichnet, einer bekannten Android-RAT-Familie, was gemeinsame Codemuster widerspiegelt. Ein verwandtes Toolkit namens Night Dragon, das über den Telegram-Kanal SQLRCE0 beworben wurde, wurde im Zuge dieser Untersuchung ebenfalls entdeckt, wobei ein offengelegtes Admin-Bedienfeld Dutzende aktiv verbundener Opfergeräte aufdeckte.

Zusammenfassend kann das Vorhandensein von Software wie Flying Eagle RAT auf einem Gerät zu schwerwiegenden Datenschutzverletzungen, finanziellen Verlusten, Diebstahl von Zugangsdaten und Identitätsbetrug führen. Malware-Entwickler verbessern ihre Werkzeuge regelmäßig, sodass zukünftige Versionen zusätzliche Funktionen oder ausgefeiltere Umgehungstechniken enthalten könnten.

Beispiele für Android-Remote-Access-Trojaner

Flying Eagle RAT gibt seinen Betreibern umfassende Fernsteuerung über infizierte Geräte und kombiniert Diebstahl von Zugangsdaten, Überwachung und Phishing-Overlays in einem einzigen anpassbaren Toolkit. Seine Verfügbarkeit als käuflicher Quellcode bedeutet, dass es von vielen verschiedenen Bedrohungsakteuren übernommen und angepasst werden kann.

Zu ähnlichen Android-Remote-Access-Trojanern gehören Glitch SPY, Mirax und Oblivion. Bösartige Programme unterscheiden sich stark in ihren Methoden und Zielen, aber jede Infektion auf einem Android-Gerät stellt ein direktes Risiko für die Sicherheit und Privatsphäre des Nutzers dar.

Wie ist Flying Eagle RAT in mein Gerät eingedrungen?

Flying Eagle RAT wurde über gefälschte Anwendungen verbreitet, die vertrauenswürdige Dienste nachahmen sollen. In mindestens einem bestätigten Fall wurde es auf einer betrügerischen Website gehostet, die ein chinesisches Behördenportal für öffentliche Sicherheit nachahmte und Nutzer aufforderte, eine scheinbar offizielle App zu installieren.

Da der vollständige Quellcode des RATs über kriminelle Telegram-Kanäle verkauft wird, können verschiedene Bedrohungsakteure ihn über völlig unterschiedliche Vektoren einsetzen. Wahrscheinliche Methoden umfassen gefälschte Banking-Apps, über Messaging-Plattformen verbreitete Phishing-Links, inoffizielle App-Stores und betrügerische Social-Media-Beiträge.

Allgemeiner betrachtet verbreitet sich Android-Malware häufig über Drittanbieter-App-Stores, bösartige E-Mail-Anhänge, betrügerische Online-Werbung und gefälschte Software-Update-Aufforderungen. Das Herunterladen von Anwendungen ausschließlich aus dem offiziellen Google Play Store senkt das Infektionsrisiko erheblich.

Wie kann man die Installation von Malware vermeiden?

Laden Sie Anwendungen nur aus vertrauenswürdigen Quellen wie dem Google Play Store oder offiziellen Entwickler-Websites herunter. Prüfen Sie Nutzerbewertungen und untersuchen Sie die Berechtigungen, die eine App anfordert, bevor Sie sie installieren. Seien Sie besonders vorsichtig bei jeder App, die ohne klar angegebenen Zweck Zugriff auf Bedienungshilfen verlangt.

Vermeiden Sie es, Links in unaufgeforderten E-Mails, Textnachrichten oder Social-Media-Nachrichten zu folgen, und laden Sie keine APK-Dateien von außerhalb des offiziellen Stores per Sideload. Halten Sie Ihr Gerät und alle installierten Apps aktuell und verwenden Sie eine seriöse mobile Sicherheitssoftware, um regelmäßig auf Bedrohungen zu scannen.

Schnellmenü:

• Einführung
• Wie löscht man den Browserverlauf im Chrome-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf im Firefox-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „abgesicherten Modus"?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man den Datenverbrauch verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen mit Administratorrechten?

Browserverlauf im Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Tippen Sie auf „Browserdaten löschen", wählen Sie die Registerkarte „ERWEITERT", wählen Sie den Zeitraum und die Datentypen aus, die Sie löschen möchten, und tippen Sie auf „Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Einstellungen" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen" sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen" sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie auf sie und klicken Sie auf „Löschen & zurücksetzen". Dadurch werden die diesen Websites erteilten Berechtigungen zum Senden von Benachrichtigungen entfernt. Sobald Sie dieselbe Website jedoch erneut besuchen, kann sie erneut um eine Berechtigung bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Abschnitt „Blockiert" verschoben und fragt Sie nicht mehr nach der Berechtigung).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „SPEICHER VERWALTEN", dann auf „ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion, indem Sie auf „OK" tippen. Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten löscht. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie „Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Datentypen aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das links von der URL-Leiste angezeigte Symbol (das Symbol muss nicht zwangsläufig ein „Schloss" sein) und wählen Sie „Website-Einstellungen bearbeiten".

Wählen Sie im geöffneten Pop-up die Option „Benachrichtigungen" ab und tippen Sie auf „LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „DATEN LÖSCHEN" und bestätigen Sie die Aktion, indem Sie auf „LÖSCHEN" tippen. Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten löscht. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren". Wenn Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wird Ihnen eine Fehlermeldung angezeigt), sollten Sie den „abgesicherten Modus" verwenden.

[Zurück zum Inhaltsverzeichnis]

Android-Gerät im „abgesicherten Modus" starten:

Der „abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Drittanbieteranwendungen. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die Nutzer daran hindern, dies zu tun, wenn das Gerät „normal" läuft).

Drücken Sie die „Ein-/Aus"-Taste und halten Sie sie gedrückt, bis Sie den Bildschirm „Ausschalten" sehen. Tippen Sie auf das Symbol „Ausschalten" und halten Sie es gedrückt. Nach ein paar Sekunden erscheint die Option „abgesicherter Modus", und Sie können ihn ausführen, indem Sie das Gerät neu starten.

[Zurück zum Inhaltsverzeichnis]

Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Gerätewartung" sehen, und tippen Sie darauf.

Tippen Sie auf „Akku" und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind darauf ausgelegt, so wenig Energie wie möglich zu verbrauchen, um das beste Nutzererlebnis zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Verbindungen" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datenverbrauch" sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen darauf ausgelegt, den Datenverbrauch so weit wie möglich zu minimieren. Das bedeutet, dass ein enormer Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein könnten, dass sie nur dann arbeiten, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl den mobilen als auch den WLAN-Datenverbrauch überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, raten wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine gute Praxis, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist weitaus anfälliger, weshalb Sie stets sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie sie sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen" zu aktivieren - dadurch kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

Das System auf seinen Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf den Standard zurückzusetzen und das Gerät allgemein zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen wiederherstellen.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie durchführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf den Standard zurücksetzen;
„Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf den Standard zurücksetzen;
„Auf Werkseinstellungen zurücksetzen" - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps solche Rechte haben, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und tippen Sie dann auf „Geräteverwaltungs-Apps".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie auf sie und tippen Sie dann auf „DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der Flying Eagle RAT-Malware infiziert. Sollte ich meinen Speicher formatieren, um sie loszuwerden?

Eine Formatierung ist zur Malware-Entfernung selten notwendig. Das Ausführen einer seriösen mobilen Sicherheitsanwendung wie Combo Cleaner sollte ausreichen, um Flying Eagle RAT auf Ihrem Gerät zu erkennen und zu beseitigen.

Was sind die größten Probleme, die die Flying Eagle RAT-Malware verursachen kann?

Flying Eagle RAT kann Zahlungsdaten und sensible Anmeldedaten stehlen, alles aufzeichnen, was auf Ihrem Bildschirm angezeigt wird, und gefälschte Anmeldeseiten über legitime Apps einblenden, um zusätzliche Zugangsdaten zu erfassen. Diese Fähigkeiten können zu finanziellen Verlusten, Kontoübernahmen und Identitätsdiebstahl führen.

Was ist der Zweck der Flying Eagle RAT-Malware?

Die meisten Malware-Angriffe sind finanziell motiviert. Die Gründe für Infektionen können jedoch auch Belustigung, persönliche Rachefeldzüge, Störung von Diensten, Hacktivismus oder geopolitische Motive umfassen.

Wie ist die Flying Eagle RAT-Malware in mein Android-Gerät eingedrungen?

Flying Eagle RAT wurde über gefälschte Behörden- und Sicherheits-Apps auf betrügerischen Websites verbreitet. Sein Quellcode wird über kriminelle Telegram-Kanäle verkauft, sodass verschiedene Betreiber ihn auch über Phishing-Links, inoffizielle App-Stores oder betrügerische Social-Media-Beiträge verbreiten können.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner ist in der Lage, nahezu alle bekannten Malware-Infektionen zu erkennen und zu beseitigen. Das Ausführen eines vollständigen Systemscans wird empfohlen, da sich ausgefeilte Bedrohungen wie Flying Eagle RAT tief im Gerät einnisten können.