Flying Eagle, la minaccia che sfugge al controllo di chi l’ha creata

Da finta app della polizia cinese a praticamente qualsiasi altra risorsa per la diffusione di malware. Questo è Flying Eagle ridotto all’essenziale. Un framework che assottiglia il confine tra una minaccia locale e il cyber crimine su vasta scala.

Il termine framework richiama una struttura software che fornisce strumenti, regole e componenti già pronti per sviluppare applicazioni più rapidamente e in modo organizzato.

Il caso Flying Eagle è stato per diverse settimane oggetto di studio delle aziende mondiali di cybersecurity ed è esploso lo scorso mese di giugno, quando il National Cybersecurity Notification Center cinese ha reso nota l’esistenza di un’applicazione fraudolenta che veniva spacciata per essere un servizio ufficiale della pubblica sicurezza della repubblica popolare. Ma il peggio è avvenuto a fine aprile, quando ancora l’app non era stata identificata dai ricercatori delle aziende di sicurezza.

Una volta istallata, l’app – in realtà un malware – riusciva a saccheggiare gli account di pagamenti digitali collegati ad Alipay e WeChat Pay, consentendo inoltre agli attaccanti di prendere il controllo remoto del dispositivo Android.

I cyber criminali alle prese con altri cyber criminali

Il framework che ha dato inizio a tutto è sfuggito dalle mani dei creatori. Infatti, alla fine di aprile del 2026, il gruppo criminale Yx Technology (anch’esso in area cinese) ha pubblicato sull’omonimo canale Telegram il manuale di istruzioni degli strumenti software del sistema.

Una fuga di notizie che ha permesso a chiunque di prelevare il materiale e creare in pochi secondi nuove applicazioni per distribuire malware.

L’imprudenza dei cyber criminali che hanno creato il framework ha però permesso ai ricercatori di sicurezza di esaminarne il codice, scoprendo dei segnali digitali particolari che hanno portato all'identificazione di 170 server usati per perpetrare furti in diversi Paesi, tra i quali non sembra figurare l’Italia.

La diffusione del materiale ha poi scatenato il caos tra i delinquenti stessi, portando altri gruppi come SQLRCE0 a dichiarare di aver rubato i dati ai propri rivali per lanciare nuove versioni ancora più aggressive del malware.

Una piattaforma pronta all’uso

Quello che era uno strumento riservato è diventato un pericolo pubblico globale perché il leak ha messo i metodi fraudolenti a disposizione di migliaia di piccoli truffatori inesperti.

Chiunque, riconoscendo a SQLRCE0 una percentuale compresa tra il 20% e il 50% delle somme sottratte, può avvalersi del framework e dare vita ad attività definite Malware-as-a-Service, un modello criminale grazie al quale sviluppatori di malware affittano o vendono i propri strumenti ad altri cyber criminali, come un normale servizio in abbonamento.

Il pericolo latente

Come scritto sopra, l’Italia non sembra essere stata presa di mira. Poiché la prevenzione è parte attiva della cyber sicurezza, non è impensabile che meccanismi simili possano in futuro arrivare alle nostre latitudini. Il Malware-as-a-Service è redditizio soprattutto su vasta scala e i cyber criminali non si fanno scrupoli alla diffusione massiccia delle minacce che controllano.

Come proteggersi da simili minacce

Il caso Flying Eagle dimostra come il leak di codici sorgenti non fermi la minaccia, ma ne faciliti la proliferazione attraverso nuove varianti.

Gli accorgimenti per difendersi non sono tanti ma, combinati tra loro, garantiscono una capacità difensiva di livello. In generale, e non solo per quanto attiene a Flying Eagle, è opportuno evitare il sideloading, ovvero l’istallazione manuale di un file APK (i file per Android) senza passare dal Google Play Store.

I file APK prelevati da siti terzi aggirano i controlli di sicurezza di Google e, di conseguenza, aumenta il rischio di installare malware che può rubare dati, password o denaro.

Va considerato che organizzazioni private e pubbliche hanno tutto l’interesse a rendere disponibili le rispettive app sul Google Play Store. Ogni qualvolta si viene invitati a prelevare un APK da un sito esterno, deve suonare un campanello d’allarme.

Un altro accorgimento è il monitoraggio dei permessi. Se un’app richiede di accedere a dati che nulla hanno a che vedere con la sua natura o chiede di attivare servizi particolarmente sensibili, ci si può trovare davanti a meccanismi chiave per concederle privilegi che non dovrebbe avere, ovvero autorizzazioni più elevate di quelle necessarie che possono financo consegnare ai cyber criminali il controllo completo del dispositivo.

In caso di sospetto, anche minimo, è opportuno cambiare immediatamente le password degli account collegati a tutte le app istallate sul dispositivo, verificando con banche e istituti di credito che i conti e le relazioni finanziarie non siano stati colpiti dai criminali.