عمليات مزدوجة من منصة واحدة

إكس جي ويب هي لوحة تحكم وأوامر ثلاثية المستويات تركز على المتصفح، مبنية بواجهة أمامية React وخلفية Node.js وقاعدة بيانات MySQL، مع تشفير هجين RSA-2048/AES-256 عبر WebSocket Secure. تتخلى وثائق المجموعة الداخلية عن أي ادعاء بـ"اختبار الاختراق المصرح به" وتصف الوظائف بعبارات واضحة: "اختطاف المتصفح" و"سرقة البيانات" و"هجوم الوسيط" والتنصت الصامت على الكاميرا والميكروفون .

حملات التجسس الحكومي

• اختراق الاستضافة المشتركة لاتصالات الشرق الأوسط — قامت جويلباغ بحقن كود JavaScript ضار في قالب بريد إلكتروني مشترك تديره شركة اتصالات حكومية في الشرق الأوسط، مما أدى إلى اختراق أكثر من 15 مستأجراً حكومياً للبريد الإلكتروني في وقت واحد . سرق هذا الكود ملفات تعريف الارتباط ودفع تحديثات Flash/Adobe مزيفة، مما أدى إلى نشر باب خلفي يُعرف باسم Antino وإضافات متصفح ضارة وبرامج ضارة لأنظمة لينكس والموجهات .
• استهداف جنوب شرق آسيا — حملات مؤكدة ضد أجهزة مخابرات البحرية والشرطة والجيش في المنطقة .
• شركة طيران أمريكية — شركة طيران أمريكية كبرى لم يُكشف عن اسمها كانت من بين أهداف التجسس .

احتيال العملات المشفرة بالذكاء الاصطناعي

• صفحات تبادل مزيفة — مواقع محسّنة لمحركات البحث (SEO) تقلد OKX وBinance، مع صور جذابة تم إنشاؤها من خلال خدمة صور صينية تعمل بالذكاء الاصطناعي والتي ربط معرف إنشاء المحتوى المضمن بها بحساب المشغل .
• إضافة متصفح "عارض PDF" ضارة — إضافة لمتصفح Chrome (Manifest V3) وFirefox (Manifest V2) تطلب تقريباً كامل واجهة برمجة التطبيقات الخطيرة للإضافات، وتستبدل بصمت عناوين محافظ العملات المشفرة، وتوفر للمشغلين وصولاً لسطر أوامر نظام التشغيل عبر مساعد المراسلة الأصلي (com.microsoft.runedge) .
• أكثر من 40 خادم إدارة محتوى — تم إعادة استخدام اسم المستخدم "paopaodada" مع كلمة المرور 525xiaoxiao كدخول إداري عبر أسطول من 44 خادم إدارة محتوى وكمسجل نطاقات شامل .

حجم العملية

سجلت قاعدة بيانات الضحايا التي استعادها الفريق أكثر من مليون تسجيل دخول للبرامج الضارة، وأكثر من 580 ألف ملف تعريف ارتباط مسروق، وأكثر من 2300 بريد إلكتروني تم استخراجه بين فبراير ومايو 2026 . يوضح هذا الحجم كيف يمكن لطاقم صغير من القراصنة المستأجرين إدارة عمليات تجسس واحتيال متزامنة باستخدام بنية تحتية مشتركة.

الإسناد (تحديد المسؤولية)

يقيم فريق سيمانتيك بثقة عالية أن ذراع احتيال العملات المشفرة يديره شخص معين بالاسم — الممثل القانوني الوحيد لشركة مسجلة في مقاطعة تشانغشا، مقاطعة هونان، الصين (تأسست عام 2019، موصوفة كعمل تجاري لتحسين محركات البحث). استخدم الفرد اسم المستخدم "paopaodada" (泡泡大大) وأعلن عن خدمة "تأجير تصنيف المواقع" على تيليغرام أمام صورة تحمل علامة Binance. استعاد فريق سيمانتيك وثائق التحقق من الهوية الحكومية الحقيقية للمشغل، ورخصة تجارية، وخطاب تفويض موقع ومختوم لمنصة إعلامية .

لا توجد أدلة مباشرة تربط جويلباغ بالدولة الصينية، لكن فريق سيمانتيك يلاحظ أن الأهداف — وزارات حكومية، ومخابرات عسكرية، وشركة طيران أمريكية — تجعل التفسيرات الأخرى غير مرجحة . لم يتم إثبات ما إذا كان نفس الفرد يدير حملات التجسس، لكن كلا النشاطين شاركا نفس البنية التحتية، ونفس كود إخفاء الصفحات، وجدولاً زمنياً متوافقاً، ونفس لوحة تحكم إكس جي ويب. يقيم الفريق أنه من المرجح أن عمل تحسين محركات البحث قد زود عمليات التجسس بإمكانية الوصول والتوصيل والبنية التحتية .

أمن تشغيلي غير متسق

تركت المجموعة أثراً كبيراً من الأدلة بسبب ضعف الأمن التشغيلي :

• اختبر المشغلون repeatedly برامج السرقة الخاصة بهم ضد متصفحاتهم الخاصة، وجمعوا كمية من البيانات عن أنفسهم تعادل تقريباً ما جمعوه عن ضحاياهم، بما في ذلك:
  • كلمة المرور النصية الواضحة للوحة التحكم الخاصة بهم وبذرة المصادقة الثنائية
  • رموز جلسة المشغل المباشرة وتجزئات كلمة مرور bcrypt
  • اسم مستخدم Windows للمطور واسم المضيف التجريبي
  • بيانات اعتماد لمنتدى قرصنة باللغة الصينية (t00ls.com)
• تضمنت القطع الأثرية للتطوير في قاعدة الكود مسار phpStudy المحلي (C:\phpstudy_pro\WWW\)، ومسار الإنتاج (/data/xg-web/backend/)، وعنوان شبكة محلية للمطور استبعدها كود البرنامج الضار نفسه من الالتقاط.
• تم تثبيت عميل VPN محلياً في المسار D:\工作软件\vpn最新\ على مضيف Windows NT 10.0.26200، حيث أظهرت السجلات نمط عمل مركزاً بين الساعة 13:00–01:00 UTC+8، مع ضبط التوجيه لتجاوز البر الصيني الرئيسي — بما يتوافق مع مشغل موجود فعلياً داخل الصين.
• أشارت ملاحظات البرامج المثبتة إلى استخدام Clash/Shadowrocket (لتجاوز جدار الحماية العظيم)، وAnyDesk/ToDesk، ومحاكي أندرويد LDPlayer، وDeepSeek. ربطت بيانات جلسة تيليغرام سطح المكتب أحد المشغلين بالحساب المستخدم للإعلان عن الخدمات التجارية للمجموعة.

النقاط الرئيسية

• جويلباغ هي مجموعة قراصنة صينية تدير عمليات تجسس حكومي واحتيال بالعملات المشفرة من لوحة تحكم وأوامر واحدة تسمى إكس جي ويب.
• اخترقت العملية أكثر من 15 مستأجراً حكومياً للبريد الإلكتروني في الشرق الأوسط، واستهدفت أجهزة عسكرية وشرطية في جنوب شرق آسيا، وأصابت شركة طيران أمريكية.
• استخدم احتيال العملات المشفرة صفحات تبادل مزيفة تم إنشاؤها بالذكاء الاصطناعي وإضافة متصفح ضارة لسرقة عناوين المحافظ.
• حدد فريق سيمانتيك الفرد الذي يقف وراء ذراع احتيال العملات المشفرة باستخدام هوية حكومية ورخصة تجارية، لكنه لم يجد رابطاً مباشراً بالدولة الصينية.
• ضعف الأمن التشغيلي — بما في ذلك اختبار المشغلين للبرامج الضارة على أجهزتهم الخاصة — قدم للمحققين أدلة واسعة النطاق.

عمليات مزدوجة من منصة واحدة

إكس جي ويب هي لوحة تحكم وأوامر ثلاثية المستويات تركز على المتصفح، مبنية بواجهة أمامية React وخلفية Node.js وقاعدة بيانات MySQL، مع تشفير هجين RSA-2048/AES-256 عبر WebSocket Secure. تتخلى وثائق المجموعة الداخلية عن أي ادعاء بـ"اختبار الاختراق المصرح به" وتصف الوظائف بعبارات واضحة: "اختطاف المتصفح" و"سرقة البيانات" و"هجوم الوسيط" والتنصت الصامت على الكاميرا والميكروفون .

حملات التجسس الحكومي

• اختراق الاستضافة المشتركة لاتصالات الشرق الأوسط — قامت جويلباغ بحقن كود JavaScript ضار في قالب بريد إلكتروني مشترك تديره شركة اتصالات حكومية في الشرق الأوسط، مما أدى إلى اختراق أكثر من 15 مستأجراً حكومياً للبريد الإلكتروني في وقت واحد . سرق هذا الكود ملفات تعريف الارتباط ودفع تحديثات Flash/Adobe مزيفة، مما أدى إلى نشر باب خلفي يُعرف باسم Antino وإضافات متصفح ضارة وبرامج ضارة لأنظمة لينكس والموجهات .
• استهداف جنوب شرق آسيا — حملات مؤكدة ضد أجهزة مخابرات البحرية والشرطة والجيش في المنطقة .
• شركة طيران أمريكية — شركة طيران أمريكية كبرى لم يُكشف عن اسمها كانت من بين أهداف التجسس .

احتيال العملات المشفرة بالذكاء الاصطناعي

• صفحات تبادل مزيفة — مواقع محسّنة لمحركات البحث (SEO) تقلد OKX وBinance، مع صور جذابة تم إنشاؤها من خلال خدمة صور صينية تعمل بالذكاء الاصطناعي والتي ربط معرف إنشاء المحتوى المضمن بها بحساب المشغل .
• إضافة متصفح "عارض PDF" ضارة — إضافة لمتصفح Chrome (Manifest V3) وFirefox (Manifest V2) تطلب تقريباً كامل واجهة برمجة التطبيقات الخطيرة للإضافات، وتستبدل بصمت عناوين محافظ العملات المشفرة، وتوفر للمشغلين وصولاً لسطر أوامر نظام التشغيل عبر مساعد المراسلة الأصلي (com.microsoft.runedge) .
• أكثر من 40 خادم إدارة محتوى — تم إعادة استخدام اسم المستخدم "paopaodada" مع كلمة المرور 525xiaoxiao كدخول إداري عبر أسطول من 44 خادم إدارة محتوى وكمسجل نطاقات شامل .

حجم العملية

سجلت قاعدة بيانات الضحايا التي استعادها الفريق أكثر من مليون تسجيل دخول للبرامج الضارة، وأكثر من 580 ألف ملف تعريف ارتباط مسروق، وأكثر من 2300 بريد إلكتروني تم استخراجه بين فبراير ومايو 2026 . يوضح هذا الحجم كيف يمكن لطاقم صغير من القراصنة المستأجرين إدارة عمليات تجسس واحتيال متزامنة باستخدام بنية تحتية مشتركة.

الإسناد (تحديد المسؤولية)

يقيم فريق سيمانتيك بثقة عالية أن ذراع احتيال العملات المشفرة يديره شخص معين بالاسم — الممثل القانوني الوحيد لشركة مسجلة في مقاطعة تشانغشا، مقاطعة هونان، الصين (تأسست عام 2019، موصوفة كعمل تجاري لتحسين محركات البحث). استخدم الفرد اسم المستخدم "paopaodada" (泡泡大大) وأعلن عن خدمة "تأجير تصنيف المواقع" على تيليغرام أمام صورة تحمل علامة Binance. استعاد فريق سيمانتيك وثائق التحقق من الهوية الحكومية الحقيقية للمشغل، ورخصة تجارية، وخطاب تفويض موقع ومختوم لمنصة إعلامية .

لا توجد أدلة مباشرة تربط جويلباغ بالدولة الصينية، لكن فريق سيمانتيك يلاحظ أن الأهداف — وزارات حكومية، ومخابرات عسكرية، وشركة طيران أمريكية — تجعل التفسيرات الأخرى غير مرجحة . لم يتم إثبات ما إذا كان نفس الفرد يدير حملات التجسس، لكن كلا النشاطين شاركا نفس البنية التحتية، ونفس كود إخفاء الصفحات، وجدولاً زمنياً متوافقاً، ونفس لوحة تحكم إكس جي ويب. يقيم الفريق أنه من المرجح أن عمل تحسين محركات البحث قد زود عمليات التجسس بإمكانية الوصول والتوصيل والبنية التحتية .

أمن تشغيلي غير متسق

تركت المجموعة أثراً كبيراً من الأدلة بسبب ضعف الأمن التشغيلي :

• اختبر المشغلون repeatedly برامج السرقة الخاصة بهم ضد متصفحاتهم الخاصة، وجمعوا كمية من البيانات عن أنفسهم تعادل تقريباً ما جمعوه عن ضحاياهم، بما في ذلك:
  • كلمة المرور النصية الواضحة للوحة التحكم الخاصة بهم وبذرة المصادقة الثنائية
  • رموز جلسة المشغل المباشرة وتجزئات كلمة مرور bcrypt
  • اسم مستخدم Windows للمطور واسم المضيف التجريبي
  • بيانات اعتماد لمنتدى قرصنة باللغة الصينية (t00ls.com)
• تضمنت القطع الأثرية للتطوير في قاعدة الكود مسار phpStudy المحلي (C:\phpstudy_pro\WWW\)، ومسار الإنتاج (/data/xg-web/backend/)، وعنوان شبكة محلية للمطور استبعدها كود البرنامج الضار نفسه من الالتقاط.
• تم تثبيت عميل VPN محلياً في المسار D:\工作软件\vpn最新\ على مضيف Windows NT 10.0.26200، حيث أظهرت السجلات نمط عمل مركزاً بين الساعة 13:00–01:00 UTC+8، مع ضبط التوجيه لتجاوز البر الصيني الرئيسي — بما يتوافق مع مشغل موجود فعلياً داخل الصين.
• أشارت ملاحظات البرامج المثبتة إلى استخدام Clash/Shadowrocket (لتجاوز جدار الحماية العظيم)، وAnyDesk/ToDesk، ومحاكي أندرويد LDPlayer، وDeepSeek. ربطت بيانات جلسة تيليغرام سطح المكتب أحد المشغلين بالحساب المستخدم للإعلان عن الخدمات التجارية للمجموعة.

النقاط الرئيسية

• جويلباغ هي مجموعة قراصنة صينية تدير عمليات تجسس حكومي واحتيال بالعملات المشفرة من لوحة تحكم وأوامر واحدة تسمى إكس جي ويب.
• اخترقت العملية أكثر من 15 مستأجراً حكومياً للبريد الإلكتروني في الشرق الأوسط، واستهدفت أجهزة عسكرية وشرطية في جنوب شرق آسيا، وأصابت شركة طيران أمريكية.
• استخدم احتيال العملات المشفرة صفحات تبادل مزيفة تم إنشاؤها بالذكاء الاصطناعي وإضافة متصفح ضارة لسرقة عناوين المحافظ.
• حدد فريق سيمانتيك الفرد الذي يقف وراء ذراع احتيال العملات المشفرة باستخدام هوية حكومية ورخصة تجارية، لكنه لم يجد رابطاً مباشراً بالدولة الصينية.
• ضعف الأمن التشغيلي — بما في ذلك اختبار المشغلين للبرامج الضارة على أجهزتهم الخاصة — قدم للمحققين أدلة واسعة النطاق.