Operaciones de doble propósito desde una sola plataforma

XG-Web es un panel de control C2 de tres niveles, centrado en el navegador, construido con un frontend en React, un backend en Node.js y una base de datos MySQL, utilizando cifrado híbrido RSA-2048/AES-256 a través de WebSocket Secure. La documentación interna del propio grupo abandona cualquier pretensión de ser "pruebas de penetración autorizadas" y describe las funciones en términos claros: "secuestro de navegador", "robo de datos", "ataque de intermediario" y escucha silenciosa de cámara web/micrófono .

Campañas de espionaje gubernamental

• Compromiso de alojamiento compartido de una teleco en Oriente Medio: Jewelbug inyectó JavaScript malicioso en una plantilla compartida de correo web operada por un proveedor estatal de telecomunicaciones de Oriente Medio, afectando a más de 15 inquilinos de correo web gubernamental simultáneamente . Este script robaba cookies del navegador y distribuía falsas actualizaciones de Flash/Adobe, desplegando el backdoor Antino, extensiones maliciosas de navegador e implantes para Linux y enrutadores .
• Objetivos en el Sudeste Asiático: Campañas confirmadas contra cuerpos de inteligencia naval, policial y militar en la región .
• Fabricante aeroespacial de EE. UU.: Una importante empresa aeroespacial estadounidense (no identificada) se encontraba entre los objetivos de espionaje .

Fraude de criptomonedas impulsado por IA

• Páginas falsas de exchanges: Sitios web envenenados para SEO que suplantaban a OKX y Binance, con imágenes de señuelo generadas a través de un servicio de IA chino cuyo ID de generación de contenido incorporado se vinculaba a la cuenta del operador .
• Extensión maliciosa de navegador "PDF Viewer": Una extensión para Chrome (Manifest V3) y Firefox (Manifest V2) que solicita casi toda la API de extensiones peligrosas, reemplaza silenciosamente las direcciones de billeteras de criptomonedas y proporciona a los operadores un shell de comandos del sistema operativo a través de un ayudante de mensajería nativa (com.microsoft.runedge) .
• Más de 40 servidores de gestión de contenidos: El alias "paopaodada" combinado con la contraseña 525xiaoxiao se reutilizó como inicio de sesión de administrador en una flota de 44 servidores CMS y como registrador de dominios masivo .

Magnitud de la operación

La base de datos de víctimas recuperada por el grupo registró más de un millón de conexiones de malware, más de 580.000 cookies de navegador robadas y más de 2300 cuerpos de correos electrónicos extraídos entre febrero y mayo de 2026 . Esta escala demuestra la eficacia con la que un pequeño equipo de hackers mercenarios puede llevar a cabo operaciones simultáneas de espionaje y fraude utilizando infraestructura compartida.

Atribución

Symantec evalúa con alta confianza que la rama de fraude de criptomonedas es gestionada por un individuo identificado nominalmente: el único representante legal de una empresa registrada en el condado de Changsha, provincia de Hunan, China (fundada en 2019, descrita como un negocio de SEO). El individuo utilizaba el alias "paopaodada" (泡泡大大) y promocionaba un servicio de "alquiler de posicionamiento web" en Telegram sobre una imagen con la marca de Binance. Symantec recuperó los documentos de verificación de identidad oficiales del operador, una licencia comercial y una carta de autorización de una plataforma de medios firmada y sellada .

No hay evidencia directa que vincule a Jewelbug con el Estado chino, pero Symantec señala que los objetivos —ministerios gubernamentales, inteligencia militar, un fabricante aeroespacial estadounidense— hacen que otras explicaciones sean poco probables . No se ha establecido si el mismo individuo operaba las campañas de espionaje, pero ambas actividades compartían la misma infraestructura, código de ocultación de páginas superpuesto, una línea de tiempo alineada y el mismo panel XG-Web. Symantec evalúa que es muy probable que el negocio de SEO proporcionara acceso, entrega e infraestructura para la operación de espionaje .

Seguridad operativa deficiente

El grupo dejó un rastro de evidencia significativo debido a su mala seguridad operativa (opsec) :

• Los operadores probaron repetidamente su software de robo en sus propios navegadores, recopilando casi tantos datos sobre sí mismos como sobre sus víctimas, incluyendo:
  • La contraseña en texto claro de su propio panel C2 y su semilla de autenticación de dos factores (2FA)
  • Tokens de sesión de operadores en vivo y hashes de contraseñas bcrypt
  • El nombre de usuario de Windows del desarrollador y el nombre de host de prueba
  • Credenciales de un foro de hacking en chino (t00ls.com)
• Los artefactos de desarrollo en el código base incluían la ruta local de phpStudy WAMP (C:\phpstudy_pro\WWW\), la ruta de producción (/data/xg-web/backend/) y una dirección LAN de desarrollador que el propio código del implante excluía explícitamente de la captura.
• El cliente VPN estaba instalado localmente en D:\工作软件\vpn最新\ en un host con Windows NT 10.0.26200, con registros que mostraban un patrón de trabajo concentrado entre las 13:00 y la 01:00 (UTC+8), con enrutamiento configurado para evitar China continental, lo que es consistente con un operador físicamente dentro de China.
• Las notas de software instalado mencionaban Clash/Shadowrocket (para evadir el Gran Cortafuegos), AnyDesk/ToDesk, el emulador de Android LDPlayer y DeepSeek. Los datos de sesión de Telegram Desktop vinculaban a un operador con la cuenta utilizada para promocionar los servicios comerciales del grupo.

Conclusiones clave

• Jewelbug es un grupo de hackers mercenarios con base en China que ejecutaba espionaje gubernamental y fraude de criptomonedas desde un único panel de control llamado XG-Web.
• La operación comprometió más de 15 inquilinos de correo web gubernamental en Oriente Medio, atacó a cuerpos militares y policiales en el Sudeste Asiático, y también alcanzó a un fabricante aeroespacial estadounidense.
• El fraude de criptomonedas utilizaba páginas falsas de exchanges generadas con IA y una extensión maliciosa de navegador para robar direcciones de billeteras.
• Symantec identificó al individuo detrás del fraude cripto mediante documentos de identidad oficiales y una licencia comercial, pero no encontró evidencia directa que vincule a Jewelbug con el Estado chino.
• La mala seguridad operativa —incluyendo pruebas de malware en sus propias máquinas— proporcionó a los investigadores una gran cantidad de evidencia.

Operaciones de doble propósito desde una sola plataforma

XG-Web es un panel de control C2 de tres niveles, centrado en el navegador, construido con un frontend en React, un backend en Node.js y una base de datos MySQL, utilizando cifrado híbrido RSA-2048/AES-256 a través de WebSocket Secure. La documentación interna del propio grupo abandona cualquier pretensión de ser "pruebas de penetración autorizadas" y describe las funciones en términos claros: "secuestro de navegador", "robo de datos", "ataque de intermediario" y escucha silenciosa de cámara web/micrófono .

Campañas de espionaje gubernamental

• Compromiso de alojamiento compartido de una teleco en Oriente Medio: Jewelbug inyectó JavaScript malicioso en una plantilla compartida de correo web operada por un proveedor estatal de telecomunicaciones de Oriente Medio, afectando a más de 15 inquilinos de correo web gubernamental simultáneamente . Este script robaba cookies del navegador y distribuía falsas actualizaciones de Flash/Adobe, desplegando el backdoor Antino, extensiones maliciosas de navegador e implantes para Linux y enrutadores .
• Objetivos en el Sudeste Asiático: Campañas confirmadas contra cuerpos de inteligencia naval, policial y militar en la región .
• Fabricante aeroespacial de EE. UU.: Una importante empresa aeroespacial estadounidense (no identificada) se encontraba entre los objetivos de espionaje .

Fraude de criptomonedas impulsado por IA

• Páginas falsas de exchanges: Sitios web envenenados para SEO que suplantaban a OKX y Binance, con imágenes de señuelo generadas a través de un servicio de IA chino cuyo ID de generación de contenido incorporado se vinculaba a la cuenta del operador .
• Extensión maliciosa de navegador "PDF Viewer": Una extensión para Chrome (Manifest V3) y Firefox (Manifest V2) que solicita casi toda la API de extensiones peligrosas, reemplaza silenciosamente las direcciones de billeteras de criptomonedas y proporciona a los operadores un shell de comandos del sistema operativo a través de un ayudante de mensajería nativa (com.microsoft.runedge) .
• Más de 40 servidores de gestión de contenidos: El alias "paopaodada" combinado con la contraseña 525xiaoxiao se reutilizó como inicio de sesión de administrador en una flota de 44 servidores CMS y como registrador de dominios masivo .

Magnitud de la operación

La base de datos de víctimas recuperada por el grupo registró más de un millón de conexiones de malware, más de 580.000 cookies de navegador robadas y más de 2300 cuerpos de correos electrónicos extraídos entre febrero y mayo de 2026 . Esta escala demuestra la eficacia con la que un pequeño equipo de hackers mercenarios puede llevar a cabo operaciones simultáneas de espionaje y fraude utilizando infraestructura compartida.

Atribución

Symantec evalúa con alta confianza que la rama de fraude de criptomonedas es gestionada por un individuo identificado nominalmente: el único representante legal de una empresa registrada en el condado de Changsha, provincia de Hunan, China (fundada en 2019, descrita como un negocio de SEO). El individuo utilizaba el alias "paopaodada" (泡泡大大) y promocionaba un servicio de "alquiler de posicionamiento web" en Telegram sobre una imagen con la marca de Binance. Symantec recuperó los documentos de verificación de identidad oficiales del operador, una licencia comercial y una carta de autorización de una plataforma de medios firmada y sellada .

No hay evidencia directa que vincule a Jewelbug con el Estado chino, pero Symantec señala que los objetivos —ministerios gubernamentales, inteligencia militar, un fabricante aeroespacial estadounidense— hacen que otras explicaciones sean poco probables . No se ha establecido si el mismo individuo operaba las campañas de espionaje, pero ambas actividades compartían la misma infraestructura, código de ocultación de páginas superpuesto, una línea de tiempo alineada y el mismo panel XG-Web. Symantec evalúa que es muy probable que el negocio de SEO proporcionara acceso, entrega e infraestructura para la operación de espionaje .

Seguridad operativa deficiente

El grupo dejó un rastro de evidencia significativo debido a su mala seguridad operativa (opsec) :

• Los operadores probaron repetidamente su software de robo en sus propios navegadores, recopilando casi tantos datos sobre sí mismos como sobre sus víctimas, incluyendo:
  • La contraseña en texto claro de su propio panel C2 y su semilla de autenticación de dos factores (2FA)
  • Tokens de sesión de operadores en vivo y hashes de contraseñas bcrypt
  • El nombre de usuario de Windows del desarrollador y el nombre de host de prueba
  • Credenciales de un foro de hacking en chino (t00ls.com)
• Los artefactos de desarrollo en el código base incluían la ruta local de phpStudy WAMP (C:\phpstudy_pro\WWW\), la ruta de producción (/data/xg-web/backend/) y una dirección LAN de desarrollador que el propio código del implante excluía explícitamente de la captura.
• El cliente VPN estaba instalado localmente en D:\工作软件\vpn最新\ en un host con Windows NT 10.0.26200, con registros que mostraban un patrón de trabajo concentrado entre las 13:00 y la 01:00 (UTC+8), con enrutamiento configurado para evitar China continental, lo que es consistente con un operador físicamente dentro de China.
• Las notas de software instalado mencionaban Clash/Shadowrocket (para evadir el Gran Cortafuegos), AnyDesk/ToDesk, el emulador de Android LDPlayer y DeepSeek. Los datos de sesión de Telegram Desktop vinculaban a un operador con la cuenta utilizada para promocionar los servicios comerciales del grupo.

Conclusiones clave

• Jewelbug es un grupo de hackers mercenarios con base en China que ejecutaba espionaje gubernamental y fraude de criptomonedas desde un único panel de control llamado XG-Web.
• La operación comprometió más de 15 inquilinos de correo web gubernamental en Oriente Medio, atacó a cuerpos militares y policiales en el Sudeste Asiático, y también alcanzó a un fabricante aeroespacial estadounidense.
• El fraude de criptomonedas utilizaba páginas falsas de exchanges generadas con IA y una extensión maliciosa de navegador para robar direcciones de billeteras.
• Symantec identificó al individuo detrás del fraude cripto mediante documentos de identidad oficiales y una licencia comercial, pero no encontró evidencia directa que vincule a Jewelbug con el Estado chino.
• La mala seguridad operativa —incluyendo pruebas de malware en sus propias máquinas— proporcionó a los investigadores una gran cantidad de evidencia.