Deux missions, une seule plateforme

XG-Web est un panneau C2 centré sur le navigateur, en trois couches, construit avec un frontend React, un backend Node.js et une base de données MySQL, utilisant un chiffrement hybride RSA-2048/AES-256 via WebSocket Secure. La documentation interne du groupe abandonne tout prétexte de « test de pénétration autorisé » et décrit les fonctions en termes simples : « détournement de navigateur », « vol de données », « attaque de l'homme du milieu » et écoute silencieuse de la webcam/micro .

Campagnes d'espionnage gouvernemental

• Compromission d'hébergement partagé au Moyen-Orient — Jewelbug a injecté un code JavaScript malveillant dans un modèle de messagerie partagé exploité par un opérateur de télécommunications public du Moyen-Orient, touchant plus de 15 locataires de messagerie gouvernementale simultanément . Ce script a volé les cookies du navigateur et poussé de fausses mises à jour Flash/Adobe, déployant la porte dérobée Antino, des extensions de navigateur malveillantes et des implants Linux/routeur .
• Ciblage de l'Asie du Sud-Est — Campagnes confirmées contre des services de renseignement de la marine, de la police et de l'armée dans la région .
• Constructeur aérospatial américain — Une grande entreprise aérospatiale américaine non nommée figurait parmi les cibles de l'espionnage .

Fraude cryptographique alimentée par l'IA

• Fausses pages d'échange — Sites empoisonnés par SEO imitant OKX et Binance, avec des images d'appel générées via un service d'IA chinois dont l'ID de génération de contenu intégré remontait au compte de l'opérateur .
• Extension de navigateur malveillante "PDF Viewer" — Une extension Chrome Manifest V3 / Firefox Manifest V2 qui demande l'accès à la quasi-totalité des API dangereuses de l'extension, remplace silencieusement les adresses de portefeuille de crypto-monnaie et fournit aux opérateurs un shell de commande OS via un helper de messagerie native (com.microsoft.runedge) .
• Plus de 40 serveurs de gestion de contenu — Le pseudonyme « paopaodada » associé au mot de passe 525xiaoxiao a été réutilisé comme identifiant administrateur sur une flotte de 44 serveurs CMS et comme registrant de domaine en masse .

L'ampleur de l'opération

La base de données de victimes récupérée par le groupe a enregistré plus d'un million de connexions d'implant, plus de 580 000 cookies de navigateur volés et plus de 2 300 courriels exfiltrés entre février et mai 2026 .

Attribution

Symantec estime avec une grande confiance que la branche de fraude cryptographique est dirigée par un individu nommé — le seul représentant légal d'une société enregistrée dans le comté de Changsha, province du Hunan, en Chine (fondée en 2019, décrite comme une entreprise de SEO). Cette personne utilisait le pseudonyme « paopaodada » (泡泡大大) et faisait la publicité d'un service de « location de classement de sites Web » sur Telegram sur une image de marque Binance. Symantec a récupéré les documents de vérification d'identité officiels de l'opérateur, une licence commerciale et une lettre d'autorisation de plateforme média signée et tamponnée .

Aucune preuve directe ne lie Jewelbug à l'État chinois, mais Symantec note que le ciblage — ministères, renseignement militaire, un constructeur aérospatial américain — rend d'autres explications improbables . Il n'est pas établi que la même personne ait opéré les campagnes d'espionnage, mais les deux activités partageaient la même infrastructure, un code de masquage de page qui se chevauche, une chronologie alignée et le même panneau XG-Web. Symantec estime qu'il est très probable que l'entreprise de SEO ait fourni l'accès, la livraison et l'infrastructure à l'opération d'espionnage .

Une sécurité opérationnelle inégale

Le groupe a laissé une trace de preuves significative en raison d'une mauvaise opsec :

• Les opérateurs ont testé à plusieurs reprises leur voleur contre leurs propres navigateurs, collectant presque autant de données sur eux-mêmes que sur leurs victimes, notamment :
  • Le mot de passe en clair de leur propre panneau C2 et sa graine 2FA
  • Les jetons de session d'opérateur en direct et les hachages de mot de passe bcrypt
  • Le nom d'utilisateur Windows du développeur et le nom d'hôte de test
  • Les identifiants pour un forum de hackers en langue chinoise (t00ls.com)
• Les artefacts de développement dans la base de code comprenaient le chemin phpStudy WAMP local (C:\phpstudy_pro\WWW\), le chemin de production (/data/xg-web/backend/), et une adresse LAN de développeur que le code de l'implant excluait explicitement de la capture.
• Le client VPN était installé localement à D:\工作软件\vpn最新\ sur un hôte Windows NT 10.0.26200, avec des logs montrant un schéma de travail concentré entre 13h00 et 01h00 UTC+8, le routage étant défini pour contourner la Chine continentale — ce qui est cohérent avec un opérateur physiquement en Chine.
• Les notes de logiciel installé référencent Clash/Shadowrocket (contournement du Grand Firewall), AnyDesk/ToDesk, l'émulateur Android LDPlayer et DeepSeek. Les données de session Telegram Desktop ont lié un opérateur au compte utilisé pour faire la publicité des services commerciaux du groupe.

Deux missions, une seule plateforme

XG-Web est un panneau C2 centré sur le navigateur, en trois couches, construit avec un frontend React, un backend Node.js et une base de données MySQL, utilisant un chiffrement hybride RSA-2048/AES-256 via WebSocket Secure. La documentation interne du groupe abandonne tout prétexte de « test de pénétration autorisé » et décrit les fonctions en termes simples : « détournement de navigateur », « vol de données », « attaque de l'homme du milieu » et écoute silencieuse de la webcam/micro .

Campagnes d'espionnage gouvernemental

• Compromission d'hébergement partagé au Moyen-Orient — Jewelbug a injecté un code JavaScript malveillant dans un modèle de messagerie partagé exploité par un opérateur de télécommunications public du Moyen-Orient, touchant plus de 15 locataires de messagerie gouvernementale simultanément . Ce script a volé les cookies du navigateur et poussé de fausses mises à jour Flash/Adobe, déployant la porte dérobée Antino, des extensions de navigateur malveillantes et des implants Linux/routeur .
• Ciblage de l'Asie du Sud-Est — Campagnes confirmées contre des services de renseignement de la marine, de la police et de l'armée dans la région .
• Constructeur aérospatial américain — Une grande entreprise aérospatiale américaine non nommée figurait parmi les cibles de l'espionnage .

Fraude cryptographique alimentée par l'IA

• Fausses pages d'échange — Sites empoisonnés par SEO imitant OKX et Binance, avec des images d'appel générées via un service d'IA chinois dont l'ID de génération de contenu intégré remontait au compte de l'opérateur .
• Extension de navigateur malveillante "PDF Viewer" — Une extension Chrome Manifest V3 / Firefox Manifest V2 qui demande l'accès à la quasi-totalité des API dangereuses de l'extension, remplace silencieusement les adresses de portefeuille de crypto-monnaie et fournit aux opérateurs un shell de commande OS via un helper de messagerie native (com.microsoft.runedge) .
• Plus de 40 serveurs de gestion de contenu — Le pseudonyme « paopaodada » associé au mot de passe 525xiaoxiao a été réutilisé comme identifiant administrateur sur une flotte de 44 serveurs CMS et comme registrant de domaine en masse .

L'ampleur de l'opération

La base de données de victimes récupérée par le groupe a enregistré plus d'un million de connexions d'implant, plus de 580 000 cookies de navigateur volés et plus de 2 300 courriels exfiltrés entre février et mai 2026 .

Attribution

Symantec estime avec une grande confiance que la branche de fraude cryptographique est dirigée par un individu nommé — le seul représentant légal d'une société enregistrée dans le comté de Changsha, province du Hunan, en Chine (fondée en 2019, décrite comme une entreprise de SEO). Cette personne utilisait le pseudonyme « paopaodada » (泡泡大大) et faisait la publicité d'un service de « location de classement de sites Web » sur Telegram sur une image de marque Binance. Symantec a récupéré les documents de vérification d'identité officiels de l'opérateur, une licence commerciale et une lettre d'autorisation de plateforme média signée et tamponnée .

Aucune preuve directe ne lie Jewelbug à l'État chinois, mais Symantec note que le ciblage — ministères, renseignement militaire, un constructeur aérospatial américain — rend d'autres explications improbables . Il n'est pas établi que la même personne ait opéré les campagnes d'espionnage, mais les deux activités partageaient la même infrastructure, un code de masquage de page qui se chevauche, une chronologie alignée et le même panneau XG-Web. Symantec estime qu'il est très probable que l'entreprise de SEO ait fourni l'accès, la livraison et l'infrastructure à l'opération d'espionnage .

Une sécurité opérationnelle inégale

Le groupe a laissé une trace de preuves significative en raison d'une mauvaise opsec :

• Les opérateurs ont testé à plusieurs reprises leur voleur contre leurs propres navigateurs, collectant presque autant de données sur eux-mêmes que sur leurs victimes, notamment :
  • Le mot de passe en clair de leur propre panneau C2 et sa graine 2FA
  • Les jetons de session d'opérateur en direct et les hachages de mot de passe bcrypt
  • Le nom d'utilisateur Windows du développeur et le nom d'hôte de test
  • Les identifiants pour un forum de hackers en langue chinoise (t00ls.com)
• Les artefacts de développement dans la base de code comprenaient le chemin phpStudy WAMP local (C:\phpstudy_pro\WWW\), le chemin de production (/data/xg-web/backend/), et une adresse LAN de développeur que le code de l'implant excluait explicitement de la capture.
• Le client VPN était installé localement à D:\工作软件\vpn最新\ sur un hôte Windows NT 10.0.26200, avec des logs montrant un schéma de travail concentré entre 13h00 et 01h00 UTC+8, le routage étant défini pour contourner la Chine continentale — ce qui est cohérent avec un opérateur physiquement en Chine.
• Les notes de logiciel installé référencent Clash/Shadowrocket (contournement du Grand Firewall), AnyDesk/ToDesk, l'émulateur Android LDPlayer et DeepSeek. Les données de session Telegram Desktop ont lié un opérateur au compte utilisé pour faire la publicité des services commerciaux du groupe.