Jewelbug: Spione und Krypto-Betrüger unter einem Dach

Zwei Missionen, eine Plattform

XG-Web ist eine dreistufige, browserzentrierte C2-Steuerkonsole (React-Frontend, Node.js-Backend, MySQL-Datenbank), die hybrid mit RSA-2048-/AES-256-Verschlüsselung über WebSocket Secure kommuniziert. Die interne Dokumentation der Gruppe lässt jede Tarnung als „autorisierter Penetrationstest“ fallen und beschreibt die Funktionen unverblümt: „Browser-Entführung“, „Datendiebstahl“, „Man-in-the-Middle-Angriff“ sowie heimliches Webcam-/Mikrofon-Mithören .

Staatsspionage-Kampagnen

• Kompromittierung eines Shared-Hostings im Nahen Osten: Jewelbug injizierte bösartiges JavaScript in eine gemeinsame Webmail-Vorlage eines staatlichen Telekommunikationsanbieters aus dem Nahen Osten. Davon waren über 15 Regierungswebmail-Mandanten gleichzeitig betroffen . Das Skript stahl Browser-Cookies und täuschte gefälschte Flash-/Adobe-Updates vor, um die Hintertür Antino, schädliche Browser-Erweiterungen sowie Linux-/Router-Implantate zu installieren .
• Ziele in Südostasien: Bestätigte Kampagnen gegen Marine-, Polizei- und Armee-Geheimdienste in der Region .
• US-Luft- und Raumfahrtkonzern: Ein namentlich nicht genannter großer amerikanischer Luft- und Raumfahrtkonzern stand ebenfalls auf der Zielliste .

KI-gestützter Kryptowährungsbetrug

• Gefälschte Exchange-Seiten: Mit SEO-Gift bestückte Websites, die OKX und Binance imitierten. Die Lockbilder wurden über einen chinesischen KI-Bilderdienst erstellt, dessen eingebettete Content-ID direkt auf das Konto des Betreibers zurückverwies .
• Schädliche Browser-Erweiterung „PDF Viewer“: Eine Manifest-V3-Chrome-/Manifest-V2-Firefox-Erweiterung, die nahezu die gesamte Palette gefährlicher Extension-API-Rechte anfordert, stillschweigend Kryptowährungs-Wallet-Adressen ersetzt und den Betreibern über eine Native-Messaging-Hilfskomponente (com.microsoft.runedge) Zugriff auf eine Betriebssystem-Konsole verschafft .
• Über 40 Content-Management-Server: Der Handle „paopaodada“ in Kombination mit dem Passwort 525xiaoxiao wurde als Admin-Login auf einer Flotte von 44 CMS-Servern sowie als Bulk-Domain-Registrant wiederverwendet .

Ausmaß der Operation

Die geborgene Opferdatenbank der Gruppe verzeichnete zwischen Februar und Mai 2026 über eine Million Schadcode-Kontakte (Implant Check-ins), mehr als 580.000 gestohlene Browser-Cookies und über 2.300 abgegriffene E-Mail-Inhalte . Diese Dimension zeigt, wie effektiv eine kleine „Hackers-for-Hire“-Gruppe mit gemeinsamer Infrastruktur parallele Spionage- und Betrugsoperationen durchführen kann.

Zuordnung

Symantec bewertet es mit hoher Sicherheit, dass der Kryptowährungsbetrugs-Arm von einer namentlich bekannten Einzelperson betrieben wird – dem alleinigen gesetzlichen Vertreter einer Firma mit Sitz im Kreis Changsha, Provinz Hunan, China (gegründet 2019, als SEO-Unternehmen geführt). Die Person nutzte den Handle „paopaodada“ (泡泡大大) und bewarb auf Telegram einen „Website-Ranking-Verleih“-Dienst vor einem Binance-Branding-Bild. Symantec konnte die echten Ausweisdokumente der Person, eine Gewerbeanmeldung sowie ein unterschriebenes und gestempeltes Autorisierungsschreiben einer Medienplattform sicherstellen .

Es gibt keine direkten Beweise, die Jewelbug mit dem chinesischen Staat verbinden. Symantec weist jedoch darauf hin, dass die Zielauswahl – Regierungsministerien, Militärgeheimdienste und ein US-Luftfahrtkonzern – andere Erklärungen unwahrscheinlich macht . Ob dieselbe Person auch die Spionagekampagnen betrieb, ist nicht belegt. Beide Aktivitäten teilten sich jedoch dieselbe Infrastruktur, sich überschneidende Code-Pakete zur Seitenverschleierung, einen abgestimmten zeitlichen Ablauf und dasselbe XG-Web-Panel. Symantec hält es für sehr wahrscheinlich, dass das SEO-Unternehmen der Spionageoperation Zugang, Auslieferungswege und Infrastruktur zur Verfügung stellte .

Ungenügende operative Sicherheit

Die Gruppe hinterließ aufgrund mangelhafter OpSec (Operational Security) eine erhebliche Beweisspur :

• Die Betreiber testeten ihre Diebsoftware wiederholt in den eigenen Browsern und sammelten dabei fast so viele Daten über sich selbst wie über ihre Opfer – darunter:
  • das Klartext-Passwort für das eigene C2-Panel und den 2FA-Seed
  • Live-Sitzungstoken der Betreiber und bcrypt-Passwort-Hashes
  • den Windows-Benutzernamen des Entwicklers und den Test-Hostnamen
  • Zugangsdaten für ein chinesischsprachiges Hacker-Forum (t00ls.com)
• Entwicklungsspuren im Code umfassten den lokalen phpStudy-WAMP-Pfad (C:\phpstudy_pro\WWW\), den Produktionspfad (/data/xg-web/backend/) sowie eine LAN-Adresse des Entwicklers, die der Schadcode selbst explizit von der Datensammlung ausnahm.
• Der VPN-Client war lokal unter D:\工作软件\vpn最新\ auf einem Windows-NT-10.0.26200-Host installiert. Die Logs zeigten ein Arbeitsmuster zwischen 13:00 und 01:00 Uhr UTC+8, wobei das Routing so eingestellt war, dass das chinesische Festland umgangen wurde – was auf einen physisch in China arbeitenden Betreiber hindeutet.
• Referenzen zu installierter Software umfassten Clash/Shadowrocket (zur Umgehung der Großen Firewall), AnyDesk/ToDesk, den LDPlayer-Android-Emulator und DeepSeek. Telegram-Desktop-Sitzungsdaten verbanden einen Betreiber mit dem Account, der zur Bewerbung der kommerziellen Dienste der Gruppe genutzt wurde.

Kernpunkte

• Jewelbug ist eine in China ansässige „Hackers-for-Hire“-Gruppe, die Staatsspionage und Kryptowährungsbetrug von einem einzigen Command-and-Control-Panel namens XG-Web aus betrieb.
• Die Operation kompromittierte über 15 Regierungswebmail-Mandanten im Nahen Osten, zielte auf Militär- und Polizeibehörden in Südostasien und traf einen US-Luft- und Raumfahrtkonzern.
• Der Kryptowährungsbetrug nutzte KI-generierte Fake-Exchange-Seiten und eine schädliche Browser-Erweiterung, um Wallet-Adressen zu stehlen.
• Symantec identifizierte die Person hinter dem Krypto-Betrugsarm anhand von Regierungsausweisen und einer Gewerbeanmeldung, fand jedoch keinen direkten Beleg für eine Verbindung zum chinesischen Staat.
• Mangelhafte operative Sicherheit – die Betreiber testeten Malware auf ihren eigenen Rechnern – lieferte den Ermittlern umfangreiches Beweismaterial.