ג'ול-באג: חושפים את מבצע הריגול וההונאה הכפול

בחודש אוגוסט 2026 פרסם צוות Threat Hunter של סימנטק (Symantec) דו"ח מקיף החושף כי Jewelbug (הידועה גם בשמות Earth Alux, REF7707, CL-STA-0049) היא קבוצת האקרים שכירה סינית המנהלת במקביל ריגול ממשלתי והונאת מטבעות קריפטוגרפיים מבוססת בינה מלאכותית מפאנל שליטה מרכזי אחד בשם XG-Web . החקירה חשפה מבצע רחב היקף שתיעד יותר ממיליון בדיקות של תוכנות ריגול, יותר מ-580,000 קובצי Cookie גנובים ויותר מ-2,300 גופי מייל שהודלפו בין פברואר למאי 2026 .

מבצעים כפולים מפלטפורמה אחת

XG-Web הוא פאנל שליטה תלת-שכבתי (React, Node.js, MySQL) המבוסס על דפדפן, עם הצפנה היברידית RSA-2048/AES-256 על גבי WebSocket מאובטח. התיעוד הפנימי של הקבוצה נוטף את ההעמדת פנים של "בדיקות חדירה מורשות" ומתאר את הפונקציות במילים פשוטות: "חטיפת דפדפן", "גניבת נתונים", "התקפת אדם-בתווך" והאזנה שקטה למצלמה ומיקרופון .

מבצעי ריגול ממשלתיים

• פריצה לפלטפורמת אירוח משותפת של תקשורת במזרח התיכון – Jewelbug החדירה קוד JavaScript זדוני לתבנית דואר אינטרנט משותפת שהופעלה על ידי ספק תקשורת ממשלתי במזרח התיכון, ופגעה ביותר מ-15 שירותי דואר ממשלתיים בו-זמנית . הקוד גנב קובצי Cookie ודחף עדכוני Flash/Adobe מזויפים, תוך פריסת דלת אחורית Antino, תוספי דפדפן זדוניים ותוכנות ללינוקס/ראוטרים .
• יעדים בדרום-מזרח אסיה – קמפיינים מאומתים נגד גופי מודיעין של חיל הים, המשטרה והצבא באזור .
• יצרנית תעופה אמריקאית – חברת תעופה אמריקאית גדולה (שאינה נחשפת בשמה) נמנתה עם יעדי הריגול .

הונאת מטבעות קריפטוגרפיים מבוססת AI

• דפי חליפין מזויפים – אתרים שהורעלו ב-SEO המתחזים ל-OKX ו-Binance, עם תמונות פיתוי שנוצרו דרך שירות תמונות AI סיני שמזהה התוכן המוטבע שלו קשר את התמונות לחשבון המפעיל .
• תוסף דפדפן זדוני "PDF Viewer" – תוסף Chrome (Manifest V3) ו-Firefox (Manifest V2) המבקש גישה כמעט לכל ממשקי ה-API המסוכנים של הדפדפן, מחליף בשקט כתובות ארנק קריפטו, ומספק למפעילים מעטפת פקודה מערכתית באמצעות עוזר שליחת הודעות מקומית (com.microsoft.runedge) .
• יותר מ-40 שרתי ניהול תוכן – הכינוי "paopaodada" בצירוף הסיסמה 525xiaoxiao שימשו שוב ושוב כמנהל מערכת על צי של 44 שרתי CMS וכנרשם המוני של שמות תחום .

היקף המבצע

מסד הנתונים של הקורבנות שאותר חושף יותר ממיליון בדיקות של תוכנות ריגול, יותר מ-580,000 קובצי Cookie גנובים ויותר מ-2,300 גופי מייל שהודלפו בין פברואר למאי 2026 . היקף זה מדגים עד כמה ביעילות יכולה חבורת האקרים שכירה קטנה לנהל ריגול והונאה בו-זמנית תוך שימוש בתשתית משותפת.

ייחוס התקיפה

סימנטק מעריכה ברמת ביטחון גבוהה כי זרוע הונאת הקריפטו מנוהלת על ידי אדם מזוהה – הנציג המשפטי הבלעדי של חברה הרשומה במחוז צ'אנגשה, מחוז הונאן, סין (נוסדה בשנת 2019, מוגדרת כעסק לקידום אתרים). האדם השתמש בכינוי "paopaodada" (泡泡大大) ופרסם שירות "השכרת דירוג אתרים" בטלגרם מול תמונה עם סימן Binance. סימנטק השיגה את מסמכי הזיהוי הממשלתיים של המפעיל, רישיון עסק ומכתב הרשאה חתום וחתום בחותמת של פלטפורמת מדיה .

אין ראיה ישירה המקשרת את Jewelbug למדינה הסינית, אך סימנטק מציינת כי היעדים – משרדי ממשלה, מודיעין צבאי, יצרנית תעופה אמריקאית – הופכים הסברים אחרים לבלתי סבירים . לא נקבע האם אותו אדם הפעיל גם את מבצעי הריגול, אך שתי הפעילויות חלקו את אותה תשתית, קוד הסתרת דפים חופף, ציר זמן מתואם ואותו פאנל XG-Web. סימנטק מעריכה כי סביר להניח שעסק קידום האתרים סיפק גישה, אספקה ותשתית למבצע הריגול .

אבטחה מבצעית לקויה

הקבוצה הותירה שרשרת ראיות משמעותית בשל אבטחה מבצעית ירודה :

• המפעילים בדקו שוב ושוב את הגנב שלהם על הדפדפנים שלהם עצמם, ואספו כמעט כמות מידע על עצמם כמו על קורבנותיהם, כולל:
  • הסיסמה בטקסט ברור לפאנל השליטה שלהם והזרע של האימות הדו-שלבי
  • אסימוני הפעלה חיים של המפעילים והאשכולות של סיסמאות bcrypt
  • שם המשתמש של המפתח ב-Windows ושם המארח לבדיקה
  • פרטי התחברות לפורום האקרים סיני (t00ls.com)
• חפצי פיתוח בקוד כללו את הנתיב המקומי של phpStudy WAMP (C:\phpstudy_pro\WWW\), את נתיב הייצור (/data/xg-web/backend/) וכתובת LAN של מפתח שהקוד של הנוגען הדיר במפורש.
• לקוח ה-VPN הותקן מקומית ב-D:\工作软件\vpn最新\ על מארח Windows NT 10.0.26200, עם יומנים שהראו דפוס עבודה מרוכז בין 13:00 ל-01:00 UTC+8, ניתוב שהוגדר לעקוף את סין היבשתית – תואם לפעילות של מפעילים שנמצאים פיזית בסין.
• הערות על תוכנה מותקנת כללו אזכורים ל-Clash/Shadowrocket (לעקוף את חומת האש הסינית), AnyDesk/ToDesk, LDPlayer Android emulator ו-DeepSeek. נתוני הפעלת Telegram Desktop קשרו מפעיל אחד לחשבון שבו פורסמו השירותים המסחריים של הקבוצה .