Jewelbug: Spione und Krypto-Betrüger unter einem Dach
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom... Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom...
Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine, Polizei und Militärgeheimdienste in Südostasien sowie einen großen US Luft und Raumfahrtkonzern ab.
Der Krypto Betrug nutzte KI generierte Fake Exchange Seiten, die OKX und Binance imitieren, und eine schädliche Browser Erweiterung („PDF Viewer“), die stillschweigend Krypto Wallet Adressen austauscht.
Symantec identifizierte den Betreiber des Krypto Arms mit hoher Sicherheit anhand eines Personalausweises und einer Gewerbeanmeldung in der Provinz Hunan, fand jedoch keinen direkten Beleg für eine Verbindung zum chin...
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Im August 2026 veröffentlichte das Threat Hunter Team von Symantec ein detailliertes Dossier, das enthüllte: Jewelbug (auch bekannt als Earth Alux, REF7707, CL-STA-0049) ist eine in China ansässige „Hackers-for-Hire“-Gruppe, die von einem einzigen zentralen Command-and-Control-Panel namens XG-Web aus Staatsspionage und KI-gestützten Kryptowährungsbetrug parallel betreibt . Die Untersuchung förderte ein ausuferndes Netz zutage, das zwischen Februar und Mai 2026 , und protokollierte .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Jewelbug: Spione und Krypto-Betrüger unter einem Dach“?
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom... Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine, Polizei und Militärgeheimdienste in Südostasien sowie einen großen US Luft und Raumfahrtkonzern ab.
Was soll ich als nächstes in der Praxis tun?
Der Krypto Betrug nutzte KI generierte Fake Exchange Seiten, die OKX und Binance imitieren, und eine schädliche Browser Erweiterung („PDF Viewer“), die stillschweigend Krypto Wallet Adressen austauscht.
Jewelbug: Spione und Krypto-Betrüger unter einem Dach
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom... Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom...
Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine, Polizei und Militärgeheimdienste in Südostasien sowie einen großen US Luft und Raumfahrtkonzern ab.
Der Krypto Betrug nutzte KI generierte Fake Exchange Seiten, die OKX und Binance imitieren, und eine schädliche Browser Erweiterung („PDF Viewer“), die stillschweigend Krypto Wallet Adressen austauscht.
Symantec identifizierte den Betreiber des Krypto Arms mit hoher Sicherheit anhand eines Personalausweises und einer Gewerbeanmeldung in der Provinz Hunan, fand jedoch keinen direkten Beleg für eine Verbindung zum chin...
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Im August 2026 veröffentlichte das Threat Hunter Team von Symantec ein detailliertes Dossier, das enthüllte: Jewelbug (auch bekannt als Earth Alux, REF7707, CL-STA-0049) ist eine in China ansässige „Hackers-for-Hire“-Gruppe, die von einem einzigen zentralen Command-and-Control-Panel namens XG-Web aus Staatsspionage und KI-gestützten Kryptowährungsbetrug parallel betreibt . Die Untersuchung förderte ein ausuferndes Netz zutage, das zwischen Februar und Mai 2026 , und protokollierte .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Jewelbug: Spione und Krypto-Betrüger unter einem Dach“?
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Symantecs Threat Hunter Team enthüllt im August 2026, dass die in China ansässige Hackergruppe Jewelbug (auch Earth Alux, REF7707) parallel Staatsspionage und KI gestützten Kryptowährungsbetrieb von einer einzigen Kom... Die Gruppe kompromittierte über 15 Regierungswebmail Mandanten im Nahen Osten, zielte auf Marine, Polizei und Militärgeheimdienste in Südostasien sowie einen großen US Luft und Raumfahrtkonzern ab.
Was soll ich als nächstes in der Praxis tun?
Der Krypto Betrug nutzte KI generierte Fake Exchange Seiten, die OKX und Binance imitieren, und eine schädliche Browser Erweiterung („PDF Viewer“), die stillschweigend Krypto Wallet Adressen austauscht.
XG-Web ist eine dreistufige, browserzentrierte C2-Steuerkonsole (React-Frontend, Node.js-Backend, MySQL-Datenbank), die hybrid mit RSA-2048-/AES-256-Verschlüsselung über WebSocket Secure kommuniziert. Die interne Dokumentation der Gruppe lässt jede Tarnung als „autorisierter Penetrationstest“ fallen und beschreibt die Funktionen unverblümt: „Browser-Entführung“, „Datendiebstahl“, „Man-in-the-Middle-Angriff“ sowie heimliches Webcam-/Mikrofon-Mithören .
Staatsspionage-Kampagnen
Kompromittierung eines Shared-Hostings im Nahen Osten: Jewelbug injizierte bösartiges JavaScript in eine gemeinsame Webmail-Vorlage eines staatlichen Telekommunikationsanbieters aus dem Nahen Osten. Davon waren über 15 Regierungswebmail-Mandanten gleichzeitig betroffen . Das Skript stahl Browser-Cookies und täuschte gefälschte Flash-/Adobe-Updates vor, um die Hintertür Antino, schädliche Browser-Erweiterungen sowie Linux-/Router-Implantate zu installieren .
Ziele in Südostasien: Bestätigte Kampagnen gegen Marine-, Polizei- und Armee-Geheimdienste in der Region .
US-Luft- und Raumfahrtkonzern: Ein namentlich nicht genannter großer amerikanischer Luft- und Raumfahrtkonzern stand ebenfalls auf der Zielliste .
KI-gestützter Kryptowährungsbetrug
Gefälschte Exchange-Seiten: Mit SEO-Gift bestückte Websites, die OKX und Binance imitierten. Die Lockbilder wurden über einen chinesischen KI-Bilderdienst erstellt, dessen eingebettete Content-ID direkt auf das Konto des Betreibers zurückverwies .
Schädliche Browser-Erweiterung „PDF Viewer“: Eine Manifest-V3-Chrome-/Manifest-V2-Firefox-Erweiterung, die nahezu die gesamte Palette gefährlicher Extension-API-Rechte anfordert, stillschweigend Kryptowährungs-Wallet-Adressen ersetzt und den Betreibern über eine Native-Messaging-Hilfskomponente (com.microsoft.runedge) Zugriff auf eine Betriebssystem-Konsole verschafft .
Über 40 Content-Management-Server: Der Handle „paopaodada“ in Kombination mit dem Passwort 525xiaoxiao wurde als Admin-Login auf einer Flotte von 44 CMS-Servern sowie als Bulk-Domain-Registrant wiederverwendet .
Ausmaß der Operation
Die geborgene Opferdatenbank der Gruppe verzeichnete zwischen Februar und Mai 2026 über eine Million Schadcode-Kontakte (Implant Check-ins), mehr als 580.000 gestohlene Browser-Cookies und über 2.300 abgegriffene E-Mail-Inhalte. Diese Dimension zeigt, wie effektiv eine kleine „Hackers-for-Hire“-Gruppe mit gemeinsamer Infrastruktur parallele Spionage- und Betrugsoperationen durchführen kann.
Zuordnung
Symantec bewertet es mit hoher Sicherheit, dass der Kryptowährungsbetrugs-Arm von einer namentlich bekannten Einzelperson betrieben wird – dem alleinigen gesetzlichen Vertreter einer Firma mit Sitz im Kreis Changsha, Provinz Hunan, China (gegründet 2019, als SEO-Unternehmen geführt). Die Person nutzte den Handle „paopaodada“ (泡泡大大) und bewarb auf Telegram einen „Website-Ranking-Verleih“-Dienst vor einem Binance-Branding-Bild. Symantec konnte die echten Ausweisdokumente der Person, eine Gewerbeanmeldung sowie ein unterschriebenes und gestempeltes Autorisierungsschreiben einer Medienplattform sicherstellen .
Es gibt keine direkten Beweise, die Jewelbug mit dem chinesischen Staat verbinden. Symantec weist jedoch darauf hin, dass die Zielauswahl – Regierungsministerien, Militärgeheimdienste und ein US-Luftfahrtkonzern – andere Erklärungen unwahrscheinlich macht . Ob dieselbe Person auch die Spionagekampagnen betrieb, ist nicht belegt. Beide Aktivitäten teilten sich jedoch dieselbe Infrastruktur, sich überschneidende Code-Pakete zur Seitenverschleierung, einen abgestimmten zeitlichen Ablauf und dasselbe XG-Web-Panel. Symantec hält es für sehr wahrscheinlich, dass das SEO-Unternehmen der Spionageoperation Zugang, Auslieferungswege und Infrastruktur zur Verfügung stellte .
Ungenügende operative Sicherheit
Die Gruppe hinterließ aufgrund mangelhafter OpSec (Operational Security) eine erhebliche Beweisspur :
Die Betreiber testeten ihre Diebsoftware wiederholt in den eigenen Browsern und sammelten dabei fast so viele Daten über sich selbst wie über ihre Opfer – darunter:
das Klartext-Passwort für das eigene C2-Panel und den 2FA-Seed
Live-Sitzungstoken der Betreiber und bcrypt-Passwort-Hashes
den Windows-Benutzernamen des Entwicklers und den Test-Hostnamen
Zugangsdaten für ein chinesischsprachiges Hacker-Forum (t00ls.com)
Entwicklungsspuren im Code umfassten den lokalen phpStudy-WAMP-Pfad (C:\phpstudy_pro\WWW\), den Produktionspfad (/data/xg-web/backend/) sowie eine LAN-Adresse des Entwicklers, die der Schadcode selbst explizit von der Datensammlung ausnahm.
Der VPN-Client war lokal unter D:\工作软件\vpn最新\ auf einem Windows-NT-10.0.26200-Host installiert. Die Logs zeigten ein Arbeitsmuster zwischen 13:00 und 01:00 Uhr UTC+8, wobei das Routing so eingestellt war, dass das chinesische Festland umgangen wurde – was auf einen physisch in China arbeitenden Betreiber hindeutet.
Referenzen zu installierter Software umfassten Clash/Shadowrocket (zur Umgehung der Großen Firewall), AnyDesk/ToDesk, den LDPlayer-Android-Emulator und DeepSeek. Telegram-Desktop-Sitzungsdaten verbanden einen Betreiber mit dem Account, der zur Bewerbung der kommerziellen Dienste der Gruppe genutzt wurde.
Kernpunkte
Jewelbug ist eine in China ansässige „Hackers-for-Hire“-Gruppe, die Staatsspionage und Kryptowährungsbetrug von einem einzigen Command-and-Control-Panel namens XG-Web aus betrieb.
Die Operation kompromittierte über 15 Regierungswebmail-Mandanten im Nahen Osten, zielte auf Militär- und Polizeibehörden in Südostasien und traf einen US-Luft- und Raumfahrtkonzern.
Der Kryptowährungsbetrug nutzte KI-generierte Fake-Exchange-Seiten und eine schädliche Browser-Erweiterung, um Wallet-Adressen zu stehlen.
Symantec identifizierte die Person hinter dem Krypto-Betrugsarm anhand von Regierungsausweisen und einer Gewerbeanmeldung, fand jedoch keinen direkten Beleg für eine Verbindung zum chinesischen Staat.
Mangelhafte operative Sicherheit – die Betreiber testeten Malware auf ihren eigenen Rechnern – lieferte den Ermittlern umfangreiches Beweismaterial.
XG-Web ist eine dreistufige, browserzentrierte C2-Steuerkonsole (React-Frontend, Node.js-Backend, MySQL-Datenbank), die hybrid mit RSA-2048-/AES-256-Verschlüsselung über WebSocket Secure kommuniziert. Die interne Dokumentation der Gruppe lässt jede Tarnung als „autorisierter Penetrationstest“ fallen und beschreibt die Funktionen unverblümt: „Browser-Entführung“, „Datendiebstahl“, „Man-in-the-Middle-Angriff“ sowie heimliches Webcam-/Mikrofon-Mithören .
Staatsspionage-Kampagnen
Kompromittierung eines Shared-Hostings im Nahen Osten: Jewelbug injizierte bösartiges JavaScript in eine gemeinsame Webmail-Vorlage eines staatlichen Telekommunikationsanbieters aus dem Nahen Osten. Davon waren über 15 Regierungswebmail-Mandanten gleichzeitig betroffen . Das Skript stahl Browser-Cookies und täuschte gefälschte Flash-/Adobe-Updates vor, um die Hintertür Antino, schädliche Browser-Erweiterungen sowie Linux-/Router-Implantate zu installieren .
Ziele in Südostasien: Bestätigte Kampagnen gegen Marine-, Polizei- und Armee-Geheimdienste in der Region .
US-Luft- und Raumfahrtkonzern: Ein namentlich nicht genannter großer amerikanischer Luft- und Raumfahrtkonzern stand ebenfalls auf der Zielliste .
KI-gestützter Kryptowährungsbetrug
Gefälschte Exchange-Seiten: Mit SEO-Gift bestückte Websites, die OKX und Binance imitierten. Die Lockbilder wurden über einen chinesischen KI-Bilderdienst erstellt, dessen eingebettete Content-ID direkt auf das Konto des Betreibers zurückverwies .
Schädliche Browser-Erweiterung „PDF Viewer“: Eine Manifest-V3-Chrome-/Manifest-V2-Firefox-Erweiterung, die nahezu die gesamte Palette gefährlicher Extension-API-Rechte anfordert, stillschweigend Kryptowährungs-Wallet-Adressen ersetzt und den Betreibern über eine Native-Messaging-Hilfskomponente (com.microsoft.runedge) Zugriff auf eine Betriebssystem-Konsole verschafft .
Über 40 Content-Management-Server: Der Handle „paopaodada“ in Kombination mit dem Passwort 525xiaoxiao wurde als Admin-Login auf einer Flotte von 44 CMS-Servern sowie als Bulk-Domain-Registrant wiederverwendet .
Ausmaß der Operation
Die geborgene Opferdatenbank der Gruppe verzeichnete zwischen Februar und Mai 2026 über eine Million Schadcode-Kontakte (Implant Check-ins), mehr als 580.000 gestohlene Browser-Cookies und über 2.300 abgegriffene E-Mail-Inhalte. Diese Dimension zeigt, wie effektiv eine kleine „Hackers-for-Hire“-Gruppe mit gemeinsamer Infrastruktur parallele Spionage- und Betrugsoperationen durchführen kann.
Zuordnung
Symantec bewertet es mit hoher Sicherheit, dass der Kryptowährungsbetrugs-Arm von einer namentlich bekannten Einzelperson betrieben wird – dem alleinigen gesetzlichen Vertreter einer Firma mit Sitz im Kreis Changsha, Provinz Hunan, China (gegründet 2019, als SEO-Unternehmen geführt). Die Person nutzte den Handle „paopaodada“ (泡泡大大) und bewarb auf Telegram einen „Website-Ranking-Verleih“-Dienst vor einem Binance-Branding-Bild. Symantec konnte die echten Ausweisdokumente der Person, eine Gewerbeanmeldung sowie ein unterschriebenes und gestempeltes Autorisierungsschreiben einer Medienplattform sicherstellen .
Es gibt keine direkten Beweise, die Jewelbug mit dem chinesischen Staat verbinden. Symantec weist jedoch darauf hin, dass die Zielauswahl – Regierungsministerien, Militärgeheimdienste und ein US-Luftfahrtkonzern – andere Erklärungen unwahrscheinlich macht . Ob dieselbe Person auch die Spionagekampagnen betrieb, ist nicht belegt. Beide Aktivitäten teilten sich jedoch dieselbe Infrastruktur, sich überschneidende Code-Pakete zur Seitenverschleierung, einen abgestimmten zeitlichen Ablauf und dasselbe XG-Web-Panel. Symantec hält es für sehr wahrscheinlich, dass das SEO-Unternehmen der Spionageoperation Zugang, Auslieferungswege und Infrastruktur zur Verfügung stellte .
Ungenügende operative Sicherheit
Die Gruppe hinterließ aufgrund mangelhafter OpSec (Operational Security) eine erhebliche Beweisspur :
Die Betreiber testeten ihre Diebsoftware wiederholt in den eigenen Browsern und sammelten dabei fast so viele Daten über sich selbst wie über ihre Opfer – darunter:
das Klartext-Passwort für das eigene C2-Panel und den 2FA-Seed
Live-Sitzungstoken der Betreiber und bcrypt-Passwort-Hashes
den Windows-Benutzernamen des Entwicklers und den Test-Hostnamen
Zugangsdaten für ein chinesischsprachiges Hacker-Forum (t00ls.com)
Entwicklungsspuren im Code umfassten den lokalen phpStudy-WAMP-Pfad (C:\phpstudy_pro\WWW\), den Produktionspfad (/data/xg-web/backend/) sowie eine LAN-Adresse des Entwicklers, die der Schadcode selbst explizit von der Datensammlung ausnahm.
Der VPN-Client war lokal unter D:\工作软件\vpn最新\ auf einem Windows-NT-10.0.26200-Host installiert. Die Logs zeigten ein Arbeitsmuster zwischen 13:00 und 01:00 Uhr UTC+8, wobei das Routing so eingestellt war, dass das chinesische Festland umgangen wurde – was auf einen physisch in China arbeitenden Betreiber hindeutet.
Referenzen zu installierter Software umfassten Clash/Shadowrocket (zur Umgehung der Großen Firewall), AnyDesk/ToDesk, den LDPlayer-Android-Emulator und DeepSeek. Telegram-Desktop-Sitzungsdaten verbanden einen Betreiber mit dem Account, der zur Bewerbung der kommerziellen Dienste der Gruppe genutzt wurde.
Kernpunkte
Jewelbug ist eine in China ansässige „Hackers-for-Hire“-Gruppe, die Staatsspionage und Kryptowährungsbetrug von einem einzigen Command-and-Control-Panel namens XG-Web aus betrieb.
Die Operation kompromittierte über 15 Regierungswebmail-Mandanten im Nahen Osten, zielte auf Militär- und Polizeibehörden in Südostasien und traf einen US-Luft- und Raumfahrtkonzern.
Der Kryptowährungsbetrug nutzte KI-generierte Fake-Exchange-Seiten und eine schädliche Browser-Erweiterung, um Wallet-Adressen zu stehlen.
Symantec identifizierte die Person hinter dem Krypto-Betrugsarm anhand von Regierungsausweisen und einer Gewerbeanmeldung, fand jedoch keinen direkten Beleg für eine Verbindung zum chinesischen Staat.
Mangelhafte operative Sicherheit – die Betreiber testeten Malware auf ihren eigenen Rechnern – lieferte den Ermittlern umfangreiches Beweismaterial.
