Jewelbug: Kinesisk hackergruppe kører både regeringsspionage og AI-kryptosvindel fra ét panel

I august 2026 udgav Symantecs Threat Hunter Team en detaljeret rapport, der afslørede, at Jewelbug (også kendt som Earth Alux, REF7707, CL-STA-0049) er en Kina-baseret hackergruppe, der kører parallelle statslige spionagekampagner og AI-drevet kryptovaluta-svindel fra et enkelt, centralt kommandokontrolpanel kaldet XG-Web . Efterforskningen afdækkede en omfattende operation, der loggede over en million implantat-tjek-ind, over 580.000 stjålne browser-cookies og over 2.300 eksfiltrerede e-mails mellem februar og maj 2026 .

To missioner fra én platform

XG-Web er et trelags browserbaseret C2-panel opbygget med en React-frontend, Node.js-backend og MySQL-database, der bruger hybrid RSA-2048/AES-256-kryptering over WebSocket Secure. Gruppens egen interne dokumentation dropper enhver forstillelse om 'autoriseret penetrationstest' og beskriver funktioner i klartekst: 'browserkapring', 'datatyveri', 'manden-i-midten-angreb' og lydløs webcam/mikrofon-aflytning .

Statsspionagekampagner

• Kompromittering af delt hosting i Mellemøsten — Jewelbug indsatte ondsindet JavaScript i en delt webmail-skabelon hos en statslig teleudbyder i Mellemøsten, hvilket ramte over 15 statslige webmail-lejere samtidigt . Scriptet stjal browser-cookies og skubbede falske Flash/Adobe-opdateringer, der installerede Antino-bagdøren, ondsindede browser-udvidelser og Linux/router-implantater .
• Mål i Sydøstasien — Bekræftede kampagner mod flåde-, politi- og hærens efterretningsenheder i regionen .
• Amerikansk rumfartsproducent — En stor, unavngiven amerikansk rumfartsvirksomhed var blandt spionagemålene .

AI-drevet kryptovaluta-svindel

• Falske børssider — SEO-forgiftede sider, der efterlignede OKX og Binance, med lokkebilleder genereret via en kinesisk AI-billedtjeneste, hvis indlejrede indholdsgenererings-ID kunne spores tilbage til operatørens konto .
• Ondsindet browser-udvidelse 'PDF Viewer' — En Manifest V3 Chrome / Manifest V2 Firefox-udvidelse, der anmoder om næsten hele det farlige browser-API, lydløst erstatter cryptocurrency-wallet-adresser og giver operatører en OS-kommandoskal via en native-messaging-hjælper (com.microsoft.runedge) .
• Over 40 CMS-servere — Brugeren 'paopaodada' med adgangskoden 525xiaoxiao blev genbrugt som admin-login på tværs af en flåde på 44 CMS-servere og som bulk-domæneregistrant .

Omfanget af operationen

Gruppens genfundne offerdatabase loggede over en million implantat-tjek-ind, mere end 580.000 stjålne browser-cookies og over 2.300 eksfilterede e-mails mellem februar og maj 2026 . Denne skala viser, hvor effektivt en lille hackergruppe kan køre samtidige spionage- og svindeloperationer ved hjælp af delt infrastruktur.

Attribuering

Symantec vurderer med høj grad af sikkerhed, at kryptosvindelarmen drives af en navngiven person — den eneste juridiske repræsentant for et firma registreret i Changsha County, Hunan-provinsen, Kina (grundlagt 2019, beskrevet som en SEO-virksomhed). Personen brugte aliaset 'paopaodada' (泡泡大大) og reklamerede for en 'webside-ranking-udlejningstjeneste' på Telegram mod et Binance-brandet billede. Symantec genfandt operatørens personlige ID-dokumenter udstedt af staten, en virksomhedslicens og et underskrevet/stemplet medieplatformsautorisationsbrev .

Intet direkte bevis forbinder Jewelbug til den kinesiske stat, men Symantec bemærker, at målene — ministerier, militær efterretning, en amerikansk rumfartsproducent — gør andre forklaringer usandsynlige . Det er ikke fastslået, om samme person drev spionagekampagnerne, men begge aktiviteter delte den samme infrastruktur, overlappende side-skjulningskode, en tidslinje, der stemmer overens, og det samme XG-Web-panel. Symantec vurderer det mest sandsynligt, at SEO-virksomheden leverede adgang, levering og infrastruktur til spionageoperationen .

Ujævn operationssikkerhed

Gruppen efterlod en betydelig mængde spor på grund af dårlig opsec :

• Operatørerne testede gentagne gange deres stjælesoftware mod deres egne browsere og indsamlede næsten lige så mange data om sig selv som om deres ofre, herunder:
  • Klartekst-adgangskoden til deres eget C2-panel og dets 2FA-frø
  • Live operatør-sessionstokens og bcrypt-adgangskodehashes
  • Udviklerens Windows-brugernavn og testværtsnavn
  • Legitimationsoplysninger til et kinesisksproget hackingforum (t00ls.com)
• Udviklingsartefakter i kodebasen inkluderede den lokale phpStudy WAMP-sti (C:\phpstudy_pro\WWW\), produktionsstien (/data/xg-web/backend/) og en udvikler-LAN-adresse, som implantatets egen kode eksplicit udelukkede fra opsamling.
• VPN-klienten var installeret lokalt på D:\工作软件\vpn最新\ på en Windows NT 10.0.26200-vært, med logs, der viste et arbejdsmønster koncentreret mellem 13:00–01:00 UTC+8, routing indstillet til at omgå det kinesiske fastland — i overensstemmelse med en operatør fysisk placeret i Kina.
• Installeret software noter refererede til Clash/Shadowrocket (omgåelse af Den Store Firewall), AnyDesk/ToDesk, LDPlayer Android-emulator og DeepSeek. Telegram Desktop-sessionsdata knyttede én operatør til den konto, der blev brugt til at reklamere for gruppens kommercielle tjenester.

De vigtigste pointer

• Jewelbug er en Kina-baseret hackergruppe, der drev regeringsspionage og kryptovaluta-svindel fra ét kommandokontrolpanel kaldet XG-Web.
• Operationen kompromitterede over 15 statslige webmail-lejere i Mellemøsten, målrettede militære og politienheder i Sydøstasien og ramte en amerikansk rumfartsproducent.
• Kryptovaluta-svindelen brugte AI-genererede falske børssider og en ondsindet browser-udvidelse til at stjæle wallet-adresser.
• Symantec identificerede personen bag kryptosvindelarmen ved hjælp af statsudstedt ID og en virksomhedslicens, men fandt intet direkte bevis, der forbinder Jewelbug til den kinesiske stat.
• Dårlig operationssikkerhed — herunder operatører, der testede malware på deres egne maskiner — gav efterforskerne omfattende beviser.