Jewelbug: Valtiovakoilun ja kryptovaluuttahuijausten kaksoisoperaatio paljastui

Yksi alusta, kaksi tehtävää

XG-Web on kolmikerroksinen selainkeskeinen C2-paneeli, joka on rakennettu React-käyttöliittymällä, Node.js-taustaosalla ja MySQL-tietokannalla ja joka käyttää hybridi-RSA-2048/AES-256-salausprotokollaa WebSocket Secure -yhteyden yli. Ryhmän oma sisäinen dokumentaatio ei salaa toimintojaan, vaan kuvaa ne selkeästi: "selaimen kaappaus", "tietovarkaus", "välimieshyökkäys" ja äänetön web-kameran/mikrofonin kuuntelu .

Valtiolliset vakoilukampanjat

• Lähi-idän teleoperaattorin jaettuun webhotelliin soluttautuminen — Jewelbug upotti haitallisen JavaScript-koodin Lähi-idän valtion teleoperaattorin jaettuun webmail-pohjaan, mikä vaikutti yli 15 hallituksen webmail-palvelimeen samanaikaisesti . Tämä koodi varasti selainevästeitä ja työnsi väärennettyjä Flash/Adobe-päivityksiä, joiden avulla asennettiin Antino-takaovi, haitallisia selainlaajennuksia ja Linux/reititin-implantteja .
• Kaakkois-Aasian kohteet — Vahvistetut kampanjat kohdistuivat alueen laivasto-, poliisi- ja armeijatiedusteluelimiin .
• Yhdysvaltalainen ilmailualan valmistaja — Mainitsematon suuri yhdysvaltalainen ilmailualan yritys oli vakoilun kohteena .

Tekoälypohjainen kryptovaluuttahuijaus

• Väärennetyt pörssisivustot — SEO-myrkytetyt sivustot, jotka matkivat OKX:ää ja Binancea, ja joiden houkutuskuvat luotiin kiinalaisella tekoälykuvapalvelulla, jonka upotettu sisällöntuotantotunniste yhdisti kuvat operaattorin tiliin .
• Haitallinen "PDF Viewer" -selainlaajennus — Manifest V3 Chrome- ja Manifest V2 Firefox -laajennus, joka pyytää lähes kaikkia vaarallisia selainlaajennuksen API-oikeuksia, korvaa hiljaa kryptolompakko-osoitteet ja antaa operaattoreille pääkäyttäjän komentotulkin natiiviviestintäapulaisen (com.microsoft.runedge) kautta .
• Yli 40 sisällönhallintapalvelinta — Käyttäjätunnus "paopaodada" ja salasana 525xiaoxiao olivat käytössä ylläpitäjän kirjautumistietoina 44 CMS-palvelimessa sekä verkkotunnusten joukkorekisteröinnissä .

Operaation laajuus

Ryhmän palauttama uhritietokanta kirjasi yli miljoona implantin kirjautumista, yli 580 000 varastettua selainevästettä ja yli 2 300 varastettua sähköpostiviestiä helmi–toukokuun 2026 välisenä aikana . Tämä laajuus osoittaa, kuinka tehokkaasti pieni palkkiohakkeriryhmä voi pyörittää samanaikaisesti vakoilu- ja huijausoperaatioita käyttämällä yhteistä infrastruktuuria.

Tekijän tunnistaminen

Symantec arvioi korkealla varmuudella, että kryptovaluuttahuijauksen takana on nimetty henkilö — yrityksen ainoa laillinen edustaja, joka on rekisteröity Changshan piirikunnassa, Hunanin maakunnassa, Kiinassa (perustettu 2019, kuvattu SEO-yritykseksi). Henkilö käytti käyttäjätunnusta "paopaodada" (泡泡大大) ja mainosti "verkkosivuston sijoitusvuokraus" -palvelua Telegramissa Binance-brändätyn kuvan kanssa. Symantec sai haltuunsa operaattorin virallisen henkilötodistuksen, yritystodistuksen ja allekirjoitetun/leimatun media-alustan valtuutuskirjeen .

Suoraa näyttöä Jewelbugin yhteydestä Kiinan valtioon ei ole, mutta Symantec huomauttaa, että kohteet — hallitusministeriöt, sotilastiedustelu, yhdysvaltalainen ilmailualan valmistaja — tekevät muista selityksistä epätodennäköisiä . Ei ole varmaa, toimiko sama henkilö vakoilukampanjoissa, mutta molemmat toiminnot jakoivat saman infrastruktuurin, päällekkäisen sivujen naamiointikoodin, yhdenmukaisen aikataulun ja saman XG-Web-paneelin. Symantec arvioi todennäköisimmäksi, että SEO-yritys tarjosi pääsyn, toimituksen ja infrastruktuurin vakoiluoperaatioon .

Heikko tietoturva johti paljastukseen

Ryhmä jätti merkittävän määrän todisteita huonon tietoturvansa vuoksi :

• Operaattorit testasivat toistuvasti tietojenkalasteluinstrumenttiaan omilla selaimillaan, keräten lähes yhtä paljon tietoa itsestään kuin uhreistaan, mukaan lukien:
  • Oman C2-paneelinsa selkokielisen salasanan ja sen 2FA-avaimen
  • Live-operaattorin istuntotokenit ja bcrypt-salasanahajautukset
  • Kehittäjän Windows-käyttäjätunnuksen ja testitietokoneen nimen
  • Kirjautumistiedot kiinankieliselle hakkerifoorumille (t00ls.com)
• Kehitysjäänteet koodipohjassa sisälsivät paikallisen phpStudy WAMP-polun (C:\phpstudy_pro\WWW\), tuotantopolun (/data/xg-web/backend/) ja kehittäjän lähiverkko-osoitteen, jonka implantin oma koodi sulki tietojenkeruun ulkopuolelle.
• VPN-asiakas oli asennettu paikallisesti polkuun D:\工作软件\vpn最新\ Windows NT 10.0.26200 -tietokoneeseen, ja lokit osoittivat työskentelyajan olevan keskittynyt kello 13:00–01:00 UTC+8 välille, reitityksen ollessa asetettu ohittamaan manner-Kiina — mikä viittaa operaattoriin joka fyysisesti sijaitsee Kiinassa.
• Asennettujen ohjelmistojen muistiinpanoissa mainittiin Clash/Shadowrocket (suuren palomuurin kiertäminen), AnyDesk/ToDesk, LDPlayer Android-emulaattori ja DeepSeek. Telegram Desktop -istuntotiedot yhdistivät yhden operaattorin tiliin, jota käytettiin ryhmän kaupallisten palveluiden mainostamiseen.

Keskeiset havainnot

• Jewelbug on Kiinaan sijoittuva palkkiohakkeriryhmä, joka pyöritti valtiollista vakoilua ja kryptovaluuttahuijausta yhdestä XG-Web-ohjauspaneelista.
• Operaatiossa vaarannettiin yli 15 hallituksen webmail-palvelinta Lähi-idässä, kohdistettiin iskuja Kaakkois-Aasian sotilas- ja poliisielimiin ja yhdysvaltalaiseen ilmailualan valmistajaan.
• Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä pörssisivustoja ja haitallista selainlaajennusta lompakko-osoitteiden varastamiseen.
• Symantec tunnisti kryptovaluuttahuijauksen takana olevan henkilön virallisen henkilötodistuksen ja yritystodistuksen avulla, mutta suoraa yhteyttä Kiinan valtioon ei löydetty.
• Heikko tietoturva — mukaan lukien se, että operaattorit testasivat haittaohjelmia omilla tietokoneillaan — toimitti tutkijoille laajan määrän todisteita.