Dvě mise z jedné platformy

XG-Web je třívrstvý ovládací panel orientovaný na prohlížeč, postavený na React frontendu, Node.js backendu a MySQL databázi, využívající hybridní RSA-2048/AES-256 šifrování přes WebSocket Secure. Vlastní interní dokumentace skupiny upouští od jakékoli přetvářky o „autorizovaném penetračním testování“ a popisuje funkce prostě jako „únos prohlížeče“, „krádež dat“, „útok typu man-in-the-middle“ a tiché naslouchání přes webkameru/mikrofon .

Vládní špionážní kampaně

• Kompromitace sdíleného hostingu telekomunikačního operátora na Blízkém východě – Jewelbug vložil škodlivý JavaScript do sdílené šablony webmailu provozovaného státním telekomunikačním poskytovatelem, čímž zasáhl přes 15 vládních nájemců webmailu současně . Tento skript kradl cookies prohlížečů a tlačil falešné aktualizace Flash/Adobe, čímž nasazoval backdoor Antino, škodlivá rozšíření prohlížeče a implantáty pro Linux/směrovače .
• Zaměření na jihovýchodní Asii – Potvrzené kampaně proti námořnictvu, policii a armádní rozvědce v regionu .
• Americký výrobce v leteckém průmyslu – Mezi cíli špionáže byla i velká, nejmenovaná americká letecká společnost .

Kryptoměnové podvody s využitím AI

• Falešné burzovní stránky – Weby napodobující OKX a Binance optimalizované pro vyhledávače (SEO), s lákavými obrázky generovanými čínskou AI službou, jejíž vložené ID generování obsahu vedlo zpět k účtu operátora .
• Škodlivé rozšíření prohlížeče „PDF Viewer“ – Rozšíření pro Chrome (Manifest V3) a Firefox (Manifest V2), které požaduje přístup k téměř celému nebezpečnému API rozšíření, tiše nahrazuje adresy kryptopeněženek a poskytuje operátorům příkazový shell OS prostřednictvím nativního pomocníka (com.microsoft.runedge) .
• Přes 40 serverů pro správu obsahu – Handle „paopaodada“ v kombinaci s heslem 525xiaoxiao byl znovu použit jako administrátorské přihlášení napříč flotilou 44 CMS serverů a také jako hromadný registrátor domén .

Rozsah operace

Získaná databáze obětí skupiny zaznamenala přes milion kontrolních signálů z implantátů, více než 580 000 ukradených cookies prohlížečů a přes 2 300 odcizených e-mailových těl mezi únorem a květnem 2026 . Toto měřítko ukazuje, jak efektivně může malá skupina hackerů na zakázku provozovat současně špionážní a podvodné operace pomocí sdílené infrastruktury.

Přiřazení odpovědnosti

Symantec s vysokou mírou jistoty tvrdí, že kryptoměnovou podvodnou větev řídí konkrétní jmenovaná osoba – jediný statutární zástupce společnosti registrované v okrese Čchang-ša, provincie Chu-nan, Čína (založena 2019, popsaná jako SEO byznys). Tato osoba používala přezdívku „paopaodada“ (泡泡大大) a na Telegramu inzerovala službu „pronájmu žebříčků webových stránek“ s obrázkem s logem Binance. Symantec získal doklady o vládním ID operátora, živnostenský list a podepsaný a orazítkovaný autorizační dopis pro mediální platformu .

Neexistuje žádný přímý důkaz spojující Jewelbug s čínským státem, ale Symantec poznamenává, že cílení – vládní ministerstva, vojenská rozvědka, americký výrobce v leteckém průmyslu – činí jiná vysvětlení nepravděpodobnými . Není prokázáno, zda stejná osoba provozovala i špionážní kampaně, ale obě činnosti sdílely stejnou infrastrukturu, překrývající se kód pro maskování stránek, sladěný časový harmonogram a stejný panel XG-Web. Symantec považuje za nejpravděpodobnější, že SEO firma dodávala přístup, doručování a infrastrukturu pro špionážní operaci .

Nevyrovnaná operační bezpečnost

Skupina zanechala významnou stopu důkazů kvůli špatné opsec :

• Operátoři opakovaně testovali svůj krádežný software na vlastních prohlížečích a nashromáždili téměř tolik dat o sobě jako o svých obětech, včetně:
  • Hesla v prostém textu k vlastnímu C2 panelu a jeho 2FA seedu
  • Živých session tokenů operátorů a bcrypt hashů hesel
  • Uživatelského jména vývojáře ve Windows a názvu testovacího hostitele
  • Přihlašovacích údajů k čínskému hackerskému fóru (t00ls.com)
• Vývojové artefakty v kódu zahrnovaly lokální cestu phpStudy WAMP (C:\phpstudy_pro\WWW\), produkční cestu (/data/xg-web/backend/) a LAN adresu vývojáře, kterou kód implantátu explicitně vylučoval ze zachycení.
• VPN klient byl nainstalován lokálně na D:\工作软件\vpn最新\ na hostiteli s Windows NT 10.0.26200, přičemž logy ukazovaly pracovní vzorec soustředěný mezi 13:00–01:00 UTC+8, s routováním nastaveným na obcházení pevninské Číny – což odpovídá operátorovi fyzicky přítomnému v Číně.
• Poznámky k nainstalovanému softwaru odkazovaly na Clash/Shadowrocket (obcházení Velkého čínského firewallu), AnyDesk/ToDesk, LDPlayer Android emulátor a DeepSeek. Data z relace Telegram Desktop spojila jednoho operátora s účtem použitým k inzerci komerčních služeb skupiny.

Klíčové poznatky

• Jewelbug je čínská hackerská skupina na zakázku, která provozovala vládní špionáž a kryptoměnové podvody z jediného ovládacího panelu XG-Web.
• Operace kompromitovala přes 15 vládních nájemců webmailu na Blízkém východě, zaměřila se na vojenské a policejní složky v jihovýchodní Asii a zasáhla amerického výrobce v leteckém průmyslu.
• Kryptoměnové podvody využívaly falešné burzovní stránky generované AI a škodlivé rozšíření prohlížeče ke krádeži adres peněženek.
• Symantec identifikoval osobu stojící za kryptopodvodnou větví pomocí vládního ID a živnostenského listu, ale nenašel přímé spojení s čínským státem.
• Špatná operační bezpečnost – včetně testování malwaru na vlastních počítačích – poskytla vyšetřovatelům rozsáhlé důkazy.

Dvě mise z jedné platformy

XG-Web je třívrstvý ovládací panel orientovaný na prohlížeč, postavený na React frontendu, Node.js backendu a MySQL databázi, využívající hybridní RSA-2048/AES-256 šifrování přes WebSocket Secure. Vlastní interní dokumentace skupiny upouští od jakékoli přetvářky o „autorizovaném penetračním testování“ a popisuje funkce prostě jako „únos prohlížeče“, „krádež dat“, „útok typu man-in-the-middle“ a tiché naslouchání přes webkameru/mikrofon .

Vládní špionážní kampaně

• Kompromitace sdíleného hostingu telekomunikačního operátora na Blízkém východě – Jewelbug vložil škodlivý JavaScript do sdílené šablony webmailu provozovaného státním telekomunikačním poskytovatelem, čímž zasáhl přes 15 vládních nájemců webmailu současně . Tento skript kradl cookies prohlížečů a tlačil falešné aktualizace Flash/Adobe, čímž nasazoval backdoor Antino, škodlivá rozšíření prohlížeče a implantáty pro Linux/směrovače .
• Zaměření na jihovýchodní Asii – Potvrzené kampaně proti námořnictvu, policii a armádní rozvědce v regionu .
• Americký výrobce v leteckém průmyslu – Mezi cíli špionáže byla i velká, nejmenovaná americká letecká společnost .

Kryptoměnové podvody s využitím AI

• Falešné burzovní stránky – Weby napodobující OKX a Binance optimalizované pro vyhledávače (SEO), s lákavými obrázky generovanými čínskou AI službou, jejíž vložené ID generování obsahu vedlo zpět k účtu operátora .
• Škodlivé rozšíření prohlížeče „PDF Viewer“ – Rozšíření pro Chrome (Manifest V3) a Firefox (Manifest V2), které požaduje přístup k téměř celému nebezpečnému API rozšíření, tiše nahrazuje adresy kryptopeněženek a poskytuje operátorům příkazový shell OS prostřednictvím nativního pomocníka (com.microsoft.runedge) .
• Přes 40 serverů pro správu obsahu – Handle „paopaodada“ v kombinaci s heslem 525xiaoxiao byl znovu použit jako administrátorské přihlášení napříč flotilou 44 CMS serverů a také jako hromadný registrátor domén .

Rozsah operace

Získaná databáze obětí skupiny zaznamenala přes milion kontrolních signálů z implantátů, více než 580 000 ukradených cookies prohlížečů a přes 2 300 odcizených e-mailových těl mezi únorem a květnem 2026 . Toto měřítko ukazuje, jak efektivně může malá skupina hackerů na zakázku provozovat současně špionážní a podvodné operace pomocí sdílené infrastruktury.

Přiřazení odpovědnosti

Symantec s vysokou mírou jistoty tvrdí, že kryptoměnovou podvodnou větev řídí konkrétní jmenovaná osoba – jediný statutární zástupce společnosti registrované v okrese Čchang-ša, provincie Chu-nan, Čína (založena 2019, popsaná jako SEO byznys). Tato osoba používala přezdívku „paopaodada“ (泡泡大大) a na Telegramu inzerovala službu „pronájmu žebříčků webových stránek“ s obrázkem s logem Binance. Symantec získal doklady o vládním ID operátora, živnostenský list a podepsaný a orazítkovaný autorizační dopis pro mediální platformu .

Neexistuje žádný přímý důkaz spojující Jewelbug s čínským státem, ale Symantec poznamenává, že cílení – vládní ministerstva, vojenská rozvědka, americký výrobce v leteckém průmyslu – činí jiná vysvětlení nepravděpodobnými . Není prokázáno, zda stejná osoba provozovala i špionážní kampaně, ale obě činnosti sdílely stejnou infrastrukturu, překrývající se kód pro maskování stránek, sladěný časový harmonogram a stejný panel XG-Web. Symantec považuje za nejpravděpodobnější, že SEO firma dodávala přístup, doručování a infrastrukturu pro špionážní operaci .

Nevyrovnaná operační bezpečnost

Skupina zanechala významnou stopu důkazů kvůli špatné opsec :

• Operátoři opakovaně testovali svůj krádežný software na vlastních prohlížečích a nashromáždili téměř tolik dat o sobě jako o svých obětech, včetně:
  • Hesla v prostém textu k vlastnímu C2 panelu a jeho 2FA seedu
  • Živých session tokenů operátorů a bcrypt hashů hesel
  • Uživatelského jména vývojáře ve Windows a názvu testovacího hostitele
  • Přihlašovacích údajů k čínskému hackerskému fóru (t00ls.com)
• Vývojové artefakty v kódu zahrnovaly lokální cestu phpStudy WAMP (C:\phpstudy_pro\WWW\), produkční cestu (/data/xg-web/backend/) a LAN adresu vývojáře, kterou kód implantátu explicitně vylučoval ze zachycení.
• VPN klient byl nainstalován lokálně na D:\工作软件\vpn最新\ na hostiteli s Windows NT 10.0.26200, přičemž logy ukazovaly pracovní vzorec soustředěný mezi 13:00–01:00 UTC+8, s routováním nastaveným na obcházení pevninské Číny – což odpovídá operátorovi fyzicky přítomnému v Číně.
• Poznámky k nainstalovanému softwaru odkazovaly na Clash/Shadowrocket (obcházení Velkého čínského firewallu), AnyDesk/ToDesk, LDPlayer Android emulátor a DeepSeek. Data z relace Telegram Desktop spojila jednoho operátora s účtem použitým k inzerci komerčních služeb skupiny.

Klíčové poznatky

• Jewelbug je čínská hackerská skupina na zakázku, která provozovala vládní špionáž a kryptoměnové podvody z jediného ovládacího panelu XG-Web.
• Operace kompromitovala přes 15 vládních nájemců webmailu na Blízkém východě, zaměřila se na vojenské a policejní složky v jihovýchodní Asii a zasáhla amerického výrobce v leteckém průmyslu.
• Kryptoměnové podvody využívaly falešné burzovní stránky generované AI a škodlivé rozšíření prohlížeče ke krádeži adres peněženek.
• Symantec identifikoval osobu stojící za kryptopodvodnou větví pomocí vládního ID a živnostenského listu, ale nenašel přímé spojení s čínským státem.
• Špatná operační bezpečnost – včetně testování malwaru na vlastních počítačích – poskytla vyšetřovatelům rozsáhlé důkazy.