Jewelbug: चीनी हैकर्स-फॉर-हायर ग्रुप का एक ही पैनल से सरकारी जासूसी और AI-संचालित क्रिप्टो धोखाधड़ी का बड़ा खुलासा
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड। जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईम...
प्रकाशितकर्ताDeepSeek-V4-Flash से संपादितGPT Image 1.5 से चित्र बनाए गए
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड।
जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईमेल खातों को निशाना बनाया गया, और दक्षिण पूर्व एशिया की नौसेना, पुलिस और सेना पर भी हमले हुए।
क्रिप्टो फ्रॉड में AI से बने नकली Binance और OKX पेजों का इस्तेमाल किया गया, साथ ही एक ब्राउज़र एक्सटेंशन 'PDF Viewer' के ज़रिए वॉलेट एड्रेस बदलकर पैसे चुराए गए।
Symantec को फरवरी मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक इन, 5,80,000 स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल मिले।
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
अगस्त 2026 में, Symantec के Threat Hunter Team ने एक विस्तृत रिपोर्ट जारी कर यह खुलासा किया कि Jewelbug (जिसे Earth Alux, REF7707, CL-STA-0049 के नाम से भी जाना जाता है) एक चीन-आधारित हैकर्स-फॉर-हायर ग्रुप है जो एक ही केंद्रीकृत कमांड-एंड-कंट्रोल पैनल XG-Web का इस्तेमाल करते हुए समानांतर रूप से सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी धोखाधड़ी का अभियान चलाता है । जांच से पता चला कि इस समूह ने फरवरी से मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक-इन, 5,80,000 से अधिक स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल दर्ज किए ।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
"Jewelbug: चीनी हैकर्स-फॉर-हायर ग्रुप का एक ही पैनल से सरकारी जासूसी और AI-संचालित क्रिप्टो धोखाधड़ी का बड़ा खुलासा" का संक्षिप्त उत्तर क्या है?
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड। जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईमेल खातों को निशाना बनाया गया, और दक्षिण पूर्व एशिया की नौसेना, पुलिस और सेना पर भी हमले हुए।
मुझे अभ्यास में आगे क्या करना चाहिए?
क्रिप्टो फ्रॉड में AI से बने नकली Binance और OKX पेजों का इस्तेमाल किया गया, साथ ही एक ब्राउज़र एक्सटेंशन 'PDF Viewer' के ज़रिए वॉलेट एड्रेस बदलकर पैसे चुराए गए।
Jewelbug: चीनी हैकर्स-फॉर-हायर ग्रुप का एक ही पैनल से सरकारी जासूसी और AI-संचालित क्रिप्टो धोखाधड़ी का बड़ा खुलासा
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड। जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईम...
प्रकाशितकर्ताDeepSeek-V4-Flash से संपादितGPT Image 1.5 से चित्र बनाए गए
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड।
जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईमेल खातों को निशाना बनाया गया, और दक्षिण पूर्व एशिया की नौसेना, पुलिस और सेना पर भी हमले हुए।
क्रिप्टो फ्रॉड में AI से बने नकली Binance और OKX पेजों का इस्तेमाल किया गया, साथ ही एक ब्राउज़र एक्सटेंशन 'PDF Viewer' के ज़रिए वॉलेट एड्रेस बदलकर पैसे चुराए गए।
Symantec को फरवरी मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक इन, 5,80,000 स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल मिले।
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
अगस्त 2026 में, Symantec के Threat Hunter Team ने एक विस्तृत रिपोर्ट जारी कर यह खुलासा किया कि Jewelbug (जिसे Earth Alux, REF7707, CL-STA-0049 के नाम से भी जाना जाता है) एक चीन-आधारित हैकर्स-फॉर-हायर ग्रुप है जो एक ही केंद्रीकृत कमांड-एंड-कंट्रोल पैनल XG-Web का इस्तेमाल करते हुए समानांतर रूप से सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी धोखाधड़ी का अभियान चलाता है । जांच से पता चला कि इस समूह ने फरवरी से मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक-इन, 5,80,000 से अधिक स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल दर्ज किए ।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
"Jewelbug: चीनी हैकर्स-फॉर-हायर ग्रुप का एक ही पैनल से सरकारी जासूसी और AI-संचालित क्रिप्टो धोखाधड़ी का बड़ा खुलासा" का संक्षिप्त उत्तर क्या है?
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
Symantec ने अगस्त 2026 में खुलासा किया कि चीन आधारित हैकर्स फॉर हायर ग्रुप Jewelbug (Earth Alux) एक ही XG Web कंट्रोल पैनल से दो तरह के ऑपरेशन चला रहा था: सरकारी जासूसी और AI संचालित क्रिप्टोकरेंसी फ्रॉड। जासूसी अभियान में मध्य पूर्व के एक दूरसंचार प्रदाता के शेयर्ड वेबमेल प्लेटफॉर्म को हैक करके 15 से अधिक सरकारी ईमेल खातों को निशाना बनाया गया, और दक्षिण पूर्व एशिया की नौसेना, पुलिस और सेना पर भी हमले हुए।
मुझे अभ्यास में आगे क्या करना चाहिए?
क्रिप्टो फ्रॉड में AI से बने नकली Binance और OKX पेजों का इस्तेमाल किया गया, साथ ही एक ब्राउज़र एक्सटेंशन 'PDF Viewer' के ज़रिए वॉलेट एड्रेस बदलकर पैसे चुराए गए।
XG-Web एक तीन-स्तरीय ब्राउज़र-केंद्रित C2 पैनल है जो React फ्रंटएंड, Node.js बैकएंड और MySQL डेटाबेस के साथ बना है और WebSocket Secure पर हाइब्रिड RSA-2048/AES-256 एन्क्रिप्शन का इस्तेमाल करता है। ग्रुप के अपने आंतरिक दस्तावेज़ "अधिकृत पेनिट्रेशन टेस्टिंग" का दिखावा छोड़ देते हैं और फंक्शन को सीधे शब्दों में वर्णित करते हैं: "ब्राउज़र हाइजैकिंग," "डेटा चोरी," "मैन-इन-द-मिडल अटैक" और चुपके से वेबकैम/माइक्रोफोन सुनना ।
सरकारी जासूसी अभियान
मध्य पूर्व के दूरसंचार शेयर्ड-होस्टिंग उल्लंघन — ज्वेलबग ने मध्य पूर्व के एक राज्य दूरसंचार प्रदाता द्वारा संचालित शेयर्ड वेबमेल टेम्पलेट में दुर्भावनापूर्ण जावास्क्रिप्ट इंजेक्ट की, जिससे एक साथ 15 से अधिक सरकारी वेबमेल टेनेंट प्रभावित हुए । इस स्क्रिप्ट ने ब्राउज़र कुकीज़ चुरा लीं और नकली फ्लैश/एडोब अपडेट धकेल दिए, जिससे एंटीनो बैकडोर, मैलिशियस ब्राउज़र एक्सटेंशन और लिनक्स/राउटर इम्प्लांट तैनात हो गए ।
दक्षिण पूर्व एशिया को निशाना बनाना — क्षेत्र में नौसेना, पुलिस और सेना खुफिया निकायों के खिलाफ अभियानों की पुष्टि हुई है ।
अमेरिकी एयरोस्पेस निर्माता — एक बड़ी अमेरिकी एयरोस्पेस कंपनी भी जासूसी के निशाने पर थी ।
AI-संचालित क्रिप्टोकरेंसी धोखाधड़ी
नकली एक्सचेंज पेज — SEO-पॉइज़न्ड साइटें जो OKX और Binance के नाम पर चलाई गईं। इन साइटों पर AI इमेज सर्विस से जनरेट की गई डिजिटल तस्वीरें थीं और इनके कोड से ऑपरेटर के अकाउंट का पता चला ।
दुर्भावनापूर्ण "PDF Viewer" एक्सटेंशन — यह क्रोम (Manifest V3) और फ़ायरफ़ॉक्स (Manifest V2) के लिए बना एक ब्राउज़र एक्सटेंशन है जो लगभग सभी खतरनाक एक्सटेंशन API का इस्तेमाल करता है। यह क्रिप्टोकरेंसी वॉलेट एड्रेस को चुपचाप बदल देता है और com.microsoft.runedge नेटिव-मैसेजिंग हेल्पर के ज़रिए ऑपरेटर को OS कमांड शेल देता है ।
40 से अधिक CMS सर्वर — "paopaodada" हैंडल और पासवर्ड 525xiaoxiao को 44 CMS सर्वर के एडमिन लॉगिन के रूप में इस्तेमाल किया गया ।
ऑपरेशन का पैमाना
ग्रुप के रिकवर्ड विक्टिम डेटाबेस में फरवरी से मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक-इन, 5,80,000 से अधिक स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल दर्ज हैं । यह पैमाना दिखाता है कि हैकर्स-फॉर-हायर की एक छोटी टीम शेयर्ड इंफ्रास्ट्रक्चर का इस्तेमाल करके कितने प्रभावी रूप से एक साथ जासूसी और धोखाधड़ी कर सकती है।
एट्रिब्यूशन (अपराधियों की पहचान)
Symantec ने उच्च विश्वास के साथ आकलन किया है कि क्रिप्टोकरेंसी फ्रॉड एक नामित व्यक्ति द्वारा चलाया गया, जो चीन के हुनान प्रांत के चांग्शा काउंटी (2019 में स्थापित, SEO व्यवसाय) में रजिस्टर्ड कंपनी का एकमात्र कानूनी प्रतिनिधि है। यह व्यक्ति हैंडल "paopaodada" (泡泡大大) का उपयोग करता था और टेलीग्राम पर Binance ब्रांडेड इमेज के साथ "वेबसाइट रैंकिंग रेंटल" सेवा का विज्ञापन करता था। Symantec ने ऑपरेटर के वास्तविक नाम वाले सरकारी ID दस्तावेज़, एक व्यवसाय लाइसेंस और एक हस्ताक्षरित मीडिया-प्लेटफ़ॉर्म ऑथराइज़ेशन लेटर बरामद किया ।
कोई प्रत्यक्ष सबूत नहीं है कि Jewelbug चीनी राज्य से जुड़ा है, लेकिन Symantec नोट करता है कि लक्ष्य — सरकारी मंत्रालय, सैन्य खुफिया, अमेरिकी एयरोस्पेस निर्माता — अन्य स्पष्टीकरणों को असंभावित बनाते हैं । यह स्थापित नहीं है कि वही व्यक्ति जासूसी अभियानों को भी चला रहा था, लेकिन दोनों गतिविधियों ने एक ही इंफ्रास्ट्रक्चर, ओवरलैपिंग पेज-क्लोकिंग कोड, एक टाइमलाइन और उसी XG-Web पैनल का इस्तेमाल किया। Symantec का मानना है कि SEO व्यवसाय ने सबसे अधिक संभावना से जासूसी ऑपरेशन में पहुंच, डिलीवरी और इंफ्रास्ट्रक्चर की आपूर्ति की ।
कमजोर ऑपरेशनल सुरक्षा
ग्रुप ने खराब ऑपरेटिंग सिक्योरिटी (opsec) के कारण सबूतों का एक बड़ा निशान छोड़ा :
ऑपरेटरों ने अपने खुद के ब्राउज़र पर बार-बार अपने मैलवेयर का परीक्षण किया, जिससे पीड़ितों पर जितना डेटा इकट्ठा हुआ, उसके बराबर अपने बारे में भी डेटा जमा हो गया, जिसमें शामिल:
अपने C2 पैनल का सादा टेक्स्ट पासवर्ड और 2FA सीड
लाइव ऑपरेटर सेशन टोकन और bcrypt पासवर्ड हैश
डेवलपर का विंडोज़ यूज़रनेम और टेस्ट होस्टनेम
चीनी भाषा के हैकिंग फोरम (t00ls.com) के लिए क्रेडेंशियल
कोडबेस में डेवलपमेंट आर्टिफैक्ट्स में लोकल phpStudy WAMP पथ (C:\phpstudy_pro\WWW\), प्रोडक्शन पथ (/data/xg-web/backend/), और एक डेवलपर LAN एड्रेस शामिल था जिसे इम्प्लांट के अपने कोड ने कैप्चर से बाहर रखा था।
VPN क्लाइंट को विंडोज़ NT 10.0.26200 होस्ट पर D:\工作软件\vpn最新\ पर स्थानीय रूप से इंस्टॉल किया गया था, जिसमें लॉग ने 13:00–01:00 UTC+8 के बीच काम करने का पैटर्न दिखाया, रूटिंग को मेनलैंड चीन को बायपास करने के लिए सेट किया गया था — यह चीन के अंदर के ऑपरेटर के अनुरूप है।
इंस्टॉल किए गए सॉफ्टवेयर नोट्स में Clash/Shadowrocket (ग्रेट फ़ायरवॉल को बायपास करने के लिए), AnyDesk/ToDesk, LDPlayer एंड्रॉइड इम्यूलेटर और DeepSeek का ज़िक्र था। टेलीग्राम डेस्कटॉप सेशन डेटा ने एक ऑपरेटर को उस अकाउंट से जोड़ा जिसका इस्तेमाल ग्रुप की व्यावसायिक सेवाओं के विज्ञापन के लिए किया गया था।
XG-Web एक तीन-स्तरीय ब्राउज़र-केंद्रित C2 पैनल है जो React फ्रंटएंड, Node.js बैकएंड और MySQL डेटाबेस के साथ बना है और WebSocket Secure पर हाइब्रिड RSA-2048/AES-256 एन्क्रिप्शन का इस्तेमाल करता है। ग्रुप के अपने आंतरिक दस्तावेज़ "अधिकृत पेनिट्रेशन टेस्टिंग" का दिखावा छोड़ देते हैं और फंक्शन को सीधे शब्दों में वर्णित करते हैं: "ब्राउज़र हाइजैकिंग," "डेटा चोरी," "मैन-इन-द-मिडल अटैक" और चुपके से वेबकैम/माइक्रोफोन सुनना ।
सरकारी जासूसी अभियान
मध्य पूर्व के दूरसंचार शेयर्ड-होस्टिंग उल्लंघन — ज्वेलबग ने मध्य पूर्व के एक राज्य दूरसंचार प्रदाता द्वारा संचालित शेयर्ड वेबमेल टेम्पलेट में दुर्भावनापूर्ण जावास्क्रिप्ट इंजेक्ट की, जिससे एक साथ 15 से अधिक सरकारी वेबमेल टेनेंट प्रभावित हुए । इस स्क्रिप्ट ने ब्राउज़र कुकीज़ चुरा लीं और नकली फ्लैश/एडोब अपडेट धकेल दिए, जिससे एंटीनो बैकडोर, मैलिशियस ब्राउज़र एक्सटेंशन और लिनक्स/राउटर इम्प्लांट तैनात हो गए ।
दक्षिण पूर्व एशिया को निशाना बनाना — क्षेत्र में नौसेना, पुलिस और सेना खुफिया निकायों के खिलाफ अभियानों की पुष्टि हुई है ।
अमेरिकी एयरोस्पेस निर्माता — एक बड़ी अमेरिकी एयरोस्पेस कंपनी भी जासूसी के निशाने पर थी ।
AI-संचालित क्रिप्टोकरेंसी धोखाधड़ी
नकली एक्सचेंज पेज — SEO-पॉइज़न्ड साइटें जो OKX और Binance के नाम पर चलाई गईं। इन साइटों पर AI इमेज सर्विस से जनरेट की गई डिजिटल तस्वीरें थीं और इनके कोड से ऑपरेटर के अकाउंट का पता चला ।
दुर्भावनापूर्ण "PDF Viewer" एक्सटेंशन — यह क्रोम (Manifest V3) और फ़ायरफ़ॉक्स (Manifest V2) के लिए बना एक ब्राउज़र एक्सटेंशन है जो लगभग सभी खतरनाक एक्सटेंशन API का इस्तेमाल करता है। यह क्रिप्टोकरेंसी वॉलेट एड्रेस को चुपचाप बदल देता है और com.microsoft.runedge नेटिव-मैसेजिंग हेल्पर के ज़रिए ऑपरेटर को OS कमांड शेल देता है ।
40 से अधिक CMS सर्वर — "paopaodada" हैंडल और पासवर्ड 525xiaoxiao को 44 CMS सर्वर के एडमिन लॉगिन के रूप में इस्तेमाल किया गया ।
ऑपरेशन का पैमाना
ग्रुप के रिकवर्ड विक्टिम डेटाबेस में फरवरी से मई 2026 के बीच 10 लाख से अधिक इम्प्लांट चेक-इन, 5,80,000 से अधिक स्टोलन ब्राउज़र कुकीज़ और 2,300 से अधिक चुराए गए ईमेल दर्ज हैं । यह पैमाना दिखाता है कि हैकर्स-फॉर-हायर की एक छोटी टीम शेयर्ड इंफ्रास्ट्रक्चर का इस्तेमाल करके कितने प्रभावी रूप से एक साथ जासूसी और धोखाधड़ी कर सकती है।
एट्रिब्यूशन (अपराधियों की पहचान)
Symantec ने उच्च विश्वास के साथ आकलन किया है कि क्रिप्टोकरेंसी फ्रॉड एक नामित व्यक्ति द्वारा चलाया गया, जो चीन के हुनान प्रांत के चांग्शा काउंटी (2019 में स्थापित, SEO व्यवसाय) में रजिस्टर्ड कंपनी का एकमात्र कानूनी प्रतिनिधि है। यह व्यक्ति हैंडल "paopaodada" (泡泡大大) का उपयोग करता था और टेलीग्राम पर Binance ब्रांडेड इमेज के साथ "वेबसाइट रैंकिंग रेंटल" सेवा का विज्ञापन करता था। Symantec ने ऑपरेटर के वास्तविक नाम वाले सरकारी ID दस्तावेज़, एक व्यवसाय लाइसेंस और एक हस्ताक्षरित मीडिया-प्लेटफ़ॉर्म ऑथराइज़ेशन लेटर बरामद किया ।
कोई प्रत्यक्ष सबूत नहीं है कि Jewelbug चीनी राज्य से जुड़ा है, लेकिन Symantec नोट करता है कि लक्ष्य — सरकारी मंत्रालय, सैन्य खुफिया, अमेरिकी एयरोस्पेस निर्माता — अन्य स्पष्टीकरणों को असंभावित बनाते हैं । यह स्थापित नहीं है कि वही व्यक्ति जासूसी अभियानों को भी चला रहा था, लेकिन दोनों गतिविधियों ने एक ही इंफ्रास्ट्रक्चर, ओवरलैपिंग पेज-क्लोकिंग कोड, एक टाइमलाइन और उसी XG-Web पैनल का इस्तेमाल किया। Symantec का मानना है कि SEO व्यवसाय ने सबसे अधिक संभावना से जासूसी ऑपरेशन में पहुंच, डिलीवरी और इंफ्रास्ट्रक्चर की आपूर्ति की ।
कमजोर ऑपरेशनल सुरक्षा
ग्रुप ने खराब ऑपरेटिंग सिक्योरिटी (opsec) के कारण सबूतों का एक बड़ा निशान छोड़ा :
ऑपरेटरों ने अपने खुद के ब्राउज़र पर बार-बार अपने मैलवेयर का परीक्षण किया, जिससे पीड़ितों पर जितना डेटा इकट्ठा हुआ, उसके बराबर अपने बारे में भी डेटा जमा हो गया, जिसमें शामिल:
अपने C2 पैनल का सादा टेक्स्ट पासवर्ड और 2FA सीड
लाइव ऑपरेटर सेशन टोकन और bcrypt पासवर्ड हैश
डेवलपर का विंडोज़ यूज़रनेम और टेस्ट होस्टनेम
चीनी भाषा के हैकिंग फोरम (t00ls.com) के लिए क्रेडेंशियल
कोडबेस में डेवलपमेंट आर्टिफैक्ट्स में लोकल phpStudy WAMP पथ (C:\phpstudy_pro\WWW\), प्रोडक्शन पथ (/data/xg-web/backend/), और एक डेवलपर LAN एड्रेस शामिल था जिसे इम्प्लांट के अपने कोड ने कैप्चर से बाहर रखा था।
VPN क्लाइंट को विंडोज़ NT 10.0.26200 होस्ट पर D:\工作软件\vpn最新\ पर स्थानीय रूप से इंस्टॉल किया गया था, जिसमें लॉग ने 13:00–01:00 UTC+8 के बीच काम करने का पैटर्न दिखाया, रूटिंग को मेनलैंड चीन को बायपास करने के लिए सेट किया गया था — यह चीन के अंदर के ऑपरेटर के अनुरूप है।
इंस्टॉल किए गए सॉफ्टवेयर नोट्स में Clash/Shadowrocket (ग्रेट फ़ायरवॉल को बायपास करने के लिए), AnyDesk/ToDesk, LDPlayer एंड्रॉइड इम्यूलेटर और DeepSeek का ज़िक्र था। टेलीग्राम डेस्कटॉप सेशन डेटा ने एक ऑपरेटर को उस अकाउंट से जोड़ा जिसका इस्तेमाल ग्रुप की व्यावसायिक सेवाओं के विज्ञापन के लिए किया गया था।
