Jewelbug: Valtiovakoilun ja kryptovaluuttahuijausten kaksoisoperaatio paljastui
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista. Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallit...
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista.
Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallituksen sähköpostipalvelinta, minkä lisäksi se kohdisti iskuja Kaakkois Aasian laivasto , poliisi ja armeijatiedustelue...
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä OKX ja Binance pörssisivustoja sekä haitallista PDF Viewer selainlaajennusta, joka korvasi kryptolompakko osoitteita.
Symantec tunnisti kryptovaluuttahuijauksen taustalla olevan henkilön kiinalaisen virallisen henkilötodistuksen ja yritystodistuksen avulla, mutta suoraa yhteyttä Kiinan valtioon ei löydetty.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Elokuussa 2026 Symantecin Threat Hunter Team julkaisi yksityiskohtaisen raportin, joka paljasti, että Jewelbug (tunnetaan myös nimillä Earth Alux, REF7707, CL-STA-0049) on Kiinaan sijoittuva palkkiohakkeriryhmä, joka pyörittää rinnakkain valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta yhdestä keskitetystä ohjauspaneelista nimeltä XG-Web. Tutkinta paljasti laajan operaation, jossa kirjattiin , ja helmi–toukokuun 2026 välisenä aikana .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Valtiovakoilun ja kryptovaluuttahuijausten kaksoisoperaatio paljastui"?
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista.
What are the key points to validate first?
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista. Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallituksen sähköpostipalvelinta, minkä lisäksi se kohdisti iskuja Kaakkois Aasian laivasto , poliisi ja armeijatiedustelue...
What should I do next in practice?
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä OKX ja Binance pörssisivustoja sekä haitallista PDF Viewer selainlaajennusta, joka korvasi kryptolompakko osoitteita.
Jewelbug: Valtiovakoilun ja kryptovaluuttahuijausten kaksoisoperaatio paljastui
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista. Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallit...
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista.
Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallituksen sähköpostipalvelinta, minkä lisäksi se kohdisti iskuja Kaakkois Aasian laivasto , poliisi ja armeijatiedustelue...
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä OKX ja Binance pörssisivustoja sekä haitallista PDF Viewer selainlaajennusta, joka korvasi kryptolompakko osoitteita.
Symantec tunnisti kryptovaluuttahuijauksen taustalla olevan henkilön kiinalaisen virallisen henkilötodistuksen ja yritystodistuksen avulla, mutta suoraa yhteyttä Kiinan valtioon ei löydetty.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Elokuussa 2026 Symantecin Threat Hunter Team julkaisi yksityiskohtaisen raportin, joka paljasti, että Jewelbug (tunnetaan myös nimillä Earth Alux, REF7707, CL-STA-0049) on Kiinaan sijoittuva palkkiohakkeriryhmä, joka pyörittää rinnakkain valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta yhdestä keskitetystä ohjauspaneelista nimeltä XG-Web. Tutkinta paljasti laajan operaation, jossa kirjattiin , ja helmi–toukokuun 2026 välisenä aikana .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Valtiovakoilun ja kryptovaluuttahuijausten kaksoisoperaatio paljastui"?
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista.
What are the key points to validate first?
Symantec paljasti elokuussa 2026, että Kiinaan sijoittuva palkkiohakkeriryhmä Jewelbug (Earth Alux, REF7707) pyöritti valtiollista vakoilua ja tekoälypohjaista kryptovaluuttahuijausta samasta XG Web ohjauspaneelista. Ryhmä soluttautui Lähi idän valtion teleoperaattorin jaettuun webhotelliin ja vaaransi yli 15 hallituksen sähköpostipalvelinta, minkä lisäksi se kohdisti iskuja Kaakkois Aasian laivasto , poliisi ja armeijatiedustelue...
What should I do next in practice?
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä OKX ja Binance pörssisivustoja sekä haitallista PDF Viewer selainlaajennusta, joka korvasi kryptolompakko osoitteita.
XG-Web on kolmikerroksinen selainkeskeinen C2-paneeli, joka on rakennettu React-käyttöliittymällä, Node.js-taustaosalla ja MySQL-tietokannalla ja joka käyttää hybridi-RSA-2048/AES-256-salausprotokollaa WebSocket Secure -yhteyden yli. Ryhmän oma sisäinen dokumentaatio ei salaa toimintojaan, vaan kuvaa ne selkeästi: "selaimen kaappaus", "tietovarkaus", "välimieshyökkäys" ja äänetön web-kameran/mikrofonin kuuntelu .
Valtiolliset vakoilukampanjat
Lähi-idän teleoperaattorin jaettuun webhotelliin soluttautuminen — Jewelbug upotti haitallisen JavaScript-koodin Lähi-idän valtion teleoperaattorin jaettuun webmail-pohjaan, mikä vaikutti yli 15 hallituksen webmail-palvelimeen samanaikaisesti . Tämä koodi varasti selainevästeitä ja työnsi väärennettyjä Flash/Adobe-päivityksiä, joiden avulla asennettiin Antino-takaovi, haitallisia selainlaajennuksia ja Linux/reititin-implantteja .
Kaakkois-Aasian kohteet — Vahvistetut kampanjat kohdistuivat alueen laivasto-, poliisi- ja armeijatiedusteluelimiin.
Yhdysvaltalainen ilmailualan valmistaja — Mainitsematon suuri yhdysvaltalainen ilmailualan yritys oli vakoilun kohteena .
Tekoälypohjainen kryptovaluuttahuijaus
Väärennetyt pörssisivustot — SEO-myrkytetyt sivustot, jotka matkivat OKX:ää ja Binancea, ja joiden houkutuskuvat luotiin kiinalaisella tekoälykuvapalvelulla, jonka upotettu sisällöntuotantotunniste yhdisti kuvat operaattorin tiliin .
Haitallinen "PDF Viewer" -selainlaajennus — Manifest V3 Chrome- ja Manifest V2 Firefox -laajennus, joka pyytää lähes kaikkia vaarallisia selainlaajennuksen API-oikeuksia, korvaa hiljaa kryptolompakko-osoitteet ja antaa operaattoreille pääkäyttäjän komentotulkin natiiviviestintäapulaisen (com.microsoft.runedge) kautta .
Yli 40 sisällönhallintapalvelinta — Käyttäjätunnus "paopaodada" ja salasana 525xiaoxiao olivat käytössä ylläpitäjän kirjautumistietoina 44 CMS-palvelimessa sekä verkkotunnusten joukkorekisteröinnissä .
Operaation laajuus
Ryhmän palauttama uhritietokanta kirjasi yli miljoona implantin kirjautumista, yli 580 000 varastettua selainevästettä ja yli 2 300 varastettua sähköpostiviestiä helmi–toukokuun 2026 välisenä aikana . Tämä laajuus osoittaa, kuinka tehokkaasti pieni palkkiohakkeriryhmä voi pyörittää samanaikaisesti vakoilu- ja huijausoperaatioita käyttämällä yhteistä infrastruktuuria.
Tekijän tunnistaminen
Symantec arvioi korkealla varmuudella, että kryptovaluuttahuijauksen takana on nimetty henkilö — yrityksen ainoa laillinen edustaja, joka on rekisteröity Changshan piirikunnassa, Hunanin maakunnassa, Kiinassa (perustettu 2019, kuvattu SEO-yritykseksi). Henkilö käytti käyttäjätunnusta "paopaodada" (泡泡大大) ja mainosti "verkkosivuston sijoitusvuokraus" -palvelua Telegramissa Binance-brändätyn kuvan kanssa. Symantec sai haltuunsa operaattorin virallisen henkilötodistuksen, yritystodistuksen ja allekirjoitetun/leimatun media-alustan valtuutuskirjeen .
Suoraa näyttöä Jewelbugin yhteydestä Kiinan valtioon ei ole, mutta Symantec huomauttaa, että kohteet — hallitusministeriöt, sotilastiedustelu, yhdysvaltalainen ilmailualan valmistaja — tekevät muista selityksistä epätodennäköisiä . Ei ole varmaa, toimiko sama henkilö vakoilukampanjoissa, mutta molemmat toiminnot jakoivat saman infrastruktuurin, päällekkäisen sivujen naamiointikoodin, yhdenmukaisen aikataulun ja saman XG-Web-paneelin. Symantec arvioi todennäköisimmäksi, että SEO-yritys tarjosi pääsyn, toimituksen ja infrastruktuurin vakoiluoperaatioon .
Heikko tietoturva johti paljastukseen
Ryhmä jätti merkittävän määrän todisteita huonon tietoturvansa vuoksi :
Operaattorit testasivat toistuvasti tietojenkalasteluinstrumenttiaan omilla selaimillaan, keräten lähes yhtä paljon tietoa itsestään kuin uhreistaan, mukaan lukien:
Oman C2-paneelinsa selkokielisen salasanan ja sen 2FA-avaimen
Live-operaattorin istuntotokenit ja bcrypt-salasanahajautukset
Kehittäjän Windows-käyttäjätunnuksen ja testitietokoneen nimen
Kehitysjäänteet koodipohjassa sisälsivät paikallisen phpStudy WAMP-polun (C:\phpstudy_pro\WWW\), tuotantopolun (/data/xg-web/backend/) ja kehittäjän lähiverkko-osoitteen, jonka implantin oma koodi sulki tietojenkeruun ulkopuolelle.
VPN-asiakas oli asennettu paikallisesti polkuun D:\工作软件\vpn最新\ Windows NT 10.0.26200 -tietokoneeseen, ja lokit osoittivat työskentelyajan olevan keskittynyt kello 13:00–01:00 UTC+8 välille, reitityksen ollessa asetettu ohittamaan manner-Kiina — mikä viittaa operaattoriin joka fyysisesti sijaitsee Kiinassa.
Asennettujen ohjelmistojen muistiinpanoissa mainittiin Clash/Shadowrocket (suuren palomuurin kiertäminen), AnyDesk/ToDesk, LDPlayer Android-emulaattori ja DeepSeek. Telegram Desktop -istuntotiedot yhdistivät yhden operaattorin tiliin, jota käytettiin ryhmän kaupallisten palveluiden mainostamiseen.
Keskeiset havainnot
Jewelbug on Kiinaan sijoittuva palkkiohakkeriryhmä, joka pyöritti valtiollista vakoilua ja kryptovaluuttahuijausta yhdestä XG-Web-ohjauspaneelista.
Operaatiossa vaarannettiin yli 15 hallituksen webmail-palvelinta Lähi-idässä, kohdistettiin iskuja Kaakkois-Aasian sotilas- ja poliisielimiin ja yhdysvaltalaiseen ilmailualan valmistajaan.
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä pörssisivustoja ja haitallista selainlaajennusta lompakko-osoitteiden varastamiseen.
Symantec tunnisti kryptovaluuttahuijauksen takana olevan henkilön virallisen henkilötodistuksen ja yritystodistuksen avulla, mutta suoraa yhteyttä Kiinan valtioon ei löydetty.
Heikko tietoturva — mukaan lukien se, että operaattorit testasivat haittaohjelmia omilla tietokoneillaan — toimitti tutkijoille laajan määrän todisteita.
XG-Web on kolmikerroksinen selainkeskeinen C2-paneeli, joka on rakennettu React-käyttöliittymällä, Node.js-taustaosalla ja MySQL-tietokannalla ja joka käyttää hybridi-RSA-2048/AES-256-salausprotokollaa WebSocket Secure -yhteyden yli. Ryhmän oma sisäinen dokumentaatio ei salaa toimintojaan, vaan kuvaa ne selkeästi: "selaimen kaappaus", "tietovarkaus", "välimieshyökkäys" ja äänetön web-kameran/mikrofonin kuuntelu .
Valtiolliset vakoilukampanjat
Lähi-idän teleoperaattorin jaettuun webhotelliin soluttautuminen — Jewelbug upotti haitallisen JavaScript-koodin Lähi-idän valtion teleoperaattorin jaettuun webmail-pohjaan, mikä vaikutti yli 15 hallituksen webmail-palvelimeen samanaikaisesti . Tämä koodi varasti selainevästeitä ja työnsi väärennettyjä Flash/Adobe-päivityksiä, joiden avulla asennettiin Antino-takaovi, haitallisia selainlaajennuksia ja Linux/reititin-implantteja .
Kaakkois-Aasian kohteet — Vahvistetut kampanjat kohdistuivat alueen laivasto-, poliisi- ja armeijatiedusteluelimiin.
Yhdysvaltalainen ilmailualan valmistaja — Mainitsematon suuri yhdysvaltalainen ilmailualan yritys oli vakoilun kohteena .
Tekoälypohjainen kryptovaluuttahuijaus
Väärennetyt pörssisivustot — SEO-myrkytetyt sivustot, jotka matkivat OKX:ää ja Binancea, ja joiden houkutuskuvat luotiin kiinalaisella tekoälykuvapalvelulla, jonka upotettu sisällöntuotantotunniste yhdisti kuvat operaattorin tiliin .
Haitallinen "PDF Viewer" -selainlaajennus — Manifest V3 Chrome- ja Manifest V2 Firefox -laajennus, joka pyytää lähes kaikkia vaarallisia selainlaajennuksen API-oikeuksia, korvaa hiljaa kryptolompakko-osoitteet ja antaa operaattoreille pääkäyttäjän komentotulkin natiiviviestintäapulaisen (com.microsoft.runedge) kautta .
Yli 40 sisällönhallintapalvelinta — Käyttäjätunnus "paopaodada" ja salasana 525xiaoxiao olivat käytössä ylläpitäjän kirjautumistietoina 44 CMS-palvelimessa sekä verkkotunnusten joukkorekisteröinnissä .
Operaation laajuus
Ryhmän palauttama uhritietokanta kirjasi yli miljoona implantin kirjautumista, yli 580 000 varastettua selainevästettä ja yli 2 300 varastettua sähköpostiviestiä helmi–toukokuun 2026 välisenä aikana . Tämä laajuus osoittaa, kuinka tehokkaasti pieni palkkiohakkeriryhmä voi pyörittää samanaikaisesti vakoilu- ja huijausoperaatioita käyttämällä yhteistä infrastruktuuria.
Tekijän tunnistaminen
Symantec arvioi korkealla varmuudella, että kryptovaluuttahuijauksen takana on nimetty henkilö — yrityksen ainoa laillinen edustaja, joka on rekisteröity Changshan piirikunnassa, Hunanin maakunnassa, Kiinassa (perustettu 2019, kuvattu SEO-yritykseksi). Henkilö käytti käyttäjätunnusta "paopaodada" (泡泡大大) ja mainosti "verkkosivuston sijoitusvuokraus" -palvelua Telegramissa Binance-brändätyn kuvan kanssa. Symantec sai haltuunsa operaattorin virallisen henkilötodistuksen, yritystodistuksen ja allekirjoitetun/leimatun media-alustan valtuutuskirjeen .
Suoraa näyttöä Jewelbugin yhteydestä Kiinan valtioon ei ole, mutta Symantec huomauttaa, että kohteet — hallitusministeriöt, sotilastiedustelu, yhdysvaltalainen ilmailualan valmistaja — tekevät muista selityksistä epätodennäköisiä . Ei ole varmaa, toimiko sama henkilö vakoilukampanjoissa, mutta molemmat toiminnot jakoivat saman infrastruktuurin, päällekkäisen sivujen naamiointikoodin, yhdenmukaisen aikataulun ja saman XG-Web-paneelin. Symantec arvioi todennäköisimmäksi, että SEO-yritys tarjosi pääsyn, toimituksen ja infrastruktuurin vakoiluoperaatioon .
Heikko tietoturva johti paljastukseen
Ryhmä jätti merkittävän määrän todisteita huonon tietoturvansa vuoksi :
Operaattorit testasivat toistuvasti tietojenkalasteluinstrumenttiaan omilla selaimillaan, keräten lähes yhtä paljon tietoa itsestään kuin uhreistaan, mukaan lukien:
Oman C2-paneelinsa selkokielisen salasanan ja sen 2FA-avaimen
Live-operaattorin istuntotokenit ja bcrypt-salasanahajautukset
Kehittäjän Windows-käyttäjätunnuksen ja testitietokoneen nimen
Kehitysjäänteet koodipohjassa sisälsivät paikallisen phpStudy WAMP-polun (C:\phpstudy_pro\WWW\), tuotantopolun (/data/xg-web/backend/) ja kehittäjän lähiverkko-osoitteen, jonka implantin oma koodi sulki tietojenkeruun ulkopuolelle.
VPN-asiakas oli asennettu paikallisesti polkuun D:\工作软件\vpn最新\ Windows NT 10.0.26200 -tietokoneeseen, ja lokit osoittivat työskentelyajan olevan keskittynyt kello 13:00–01:00 UTC+8 välille, reitityksen ollessa asetettu ohittamaan manner-Kiina — mikä viittaa operaattoriin joka fyysisesti sijaitsee Kiinassa.
Asennettujen ohjelmistojen muistiinpanoissa mainittiin Clash/Shadowrocket (suuren palomuurin kiertäminen), AnyDesk/ToDesk, LDPlayer Android-emulaattori ja DeepSeek. Telegram Desktop -istuntotiedot yhdistivät yhden operaattorin tiliin, jota käytettiin ryhmän kaupallisten palveluiden mainostamiseen.
Keskeiset havainnot
Jewelbug on Kiinaan sijoittuva palkkiohakkeriryhmä, joka pyöritti valtiollista vakoilua ja kryptovaluuttahuijausta yhdestä XG-Web-ohjauspaneelista.
Operaatiossa vaarannettiin yli 15 hallituksen webmail-palvelinta Lähi-idässä, kohdistettiin iskuja Kaakkois-Aasian sotilas- ja poliisielimiin ja yhdysvaltalaiseen ilmailualan valmistajaan.
Kryptovaluuttahuijauksessa käytettiin tekoälyllä luotuja väärennettyjä pörssisivustoja ja haitallista selainlaajennusta lompakko-osoitteiden varastamiseen.
Symantec tunnisti kryptovaluuttahuijauksen takana olevan henkilön virallisen henkilötodistuksen ja yritystodistuksen avulla, mutta suoraa yhteyttä Kiinan valtioon ei löydetty.
Heikko tietoturva — mukaan lukien se, että operaattorit testasivat haittaohjelmia omilla tietokoneillaan — toimitti tutkijoille laajan määrän todisteita.
