Jewelbug: Operasi Ganda Mata-mata Pemerintah dan Penipuan Kripto dari Panel yang Sama

Operasi Ganda dari Satu Platform

XG-Web adalah panel C2 tiga tingkat yang berfokus pada browser, dibangun dengan frontend React, backend Node.js, dan database MySQL, menggunakan enkripsi hibrida RSA-2048/AES-256 melalui WebSocket Secure. Dokumentasi internal grup ini tanpa basa-basi menggambarkan fungsi sebagai "pembajakan browser," "pencurian data," "serangan man-in-the-middle," dan penyadapan webcam/mikrofon secara diam-diam .

Kampanye Mata-mata Pemerintah

• Kompromi hosting bersama telekom Timur Tengah — Jewelbug menyuntikkan JavaScript berbahaya ke template webmail bersama yang dioperasikan oleh penyedia telekomunikasi negara Timur Tengah, mengenai lebih dari 15 penyewa webmail pemerintah secara bersamaan . Skrip ini mencuri cookie browser dan mendorong pembaruan Flash/Adobe palsu, menyebarkan backdoor Antino, ekstensi browser berbahaya, dan implant Linux/router .
• Penargetan Asia Tenggara — Kampanye terkonfirmasi terhadap badan intelijen angkatan laut, polisi, dan angkatan darat di kawasan tersebut .
• Produsen kedirgantaraan AS — Sebuah perusahaan kedirgantaraan besar Amerika yang tidak disebutkan namanya termasuk dalam target spionase .

Penipuan Kripto Bertenaga AI

• Halaman bursa palsu — Situs yang diracuni SEO meniru OKX dan Binance, dengan gambar umpan yang dihasilkan melalui layanan gambar AI China yang ID konten pembuatannya tertaut ke akun operator .
• Ekstensi browser "PDF Viewer" berbahaya — Ekstensi Chrome Manifest V3 / Firefox Manifest V2 yang meminta hampir seluruh API ekstensi berbahaya, secara diam-diam mengganti alamat dompet kripto, dan menyediakan shell perintah OS bagi operator melalui helper native-messaging (com.microsoft.runedge) .
• Lebih dari 40 server manajemen konten — Handle "paopaodada" berpasangan dengan kata sandi 525xiaoxiao digunakan kembali sebagai login admin di seluruh armada 44 server CMS dan sebagai pendaftar domain massal .

Skala Operasi

Database korban yang dipulihkan grup ini mencatat lebih dari satu juta check-in implant, lebih dari 580.000 cookie browser curian, dan lebih dari 2.300 body email yang dieksfiltrasi antara Februari dan Mei 2026 . Skala ini menunjukkan betapa efektifnya kru hacker bayaran kecil menjalankan operasi spionase dan penipuan secara bersamaan menggunakan infrastruktur bersama.

Atribusi

Symantec menilai dengan keyakinan tinggi bahwa lengan penipuan kripto dijalankan oleh individu bernama — perwakilan hukum tunggal dari sebuah perusahaan yang terdaftar di Kabupaten Changsha, Provinsi Hunan, China (didirikan 2019, digambarkan sebagai bisnis SEO). Individu tersebut menggunakan handle "paopaodada" (泡泡大大) dan mengiklankan layanan "sewa peringkat situs web" di Telegram dengan latar belakang gambar bermerek Binance. Symantec memulihkan dokumen verifikasi ID pemerintah dengan nama asli operator, izin usaha, dan surat kuasa platform media yang ditandatangani/dicap .

Tidak ada bukti langsung yang menghubungkan Jewelbug dengan negara China, tetapi Symantec mencatat targetnya — kementerian pemerintah, intelijen militer, produsen kedirgantaraan AS — membuat penjelasan lain tidak mungkin . Apakah individu yang sama mengoperasikan kampanye spionase tidak diketahui, tetapi kedua aktivitas berbagi infrastruktur yang sama, kode penyembunyian halaman yang tumpang tindih, garis waktu yang selaras, dan panel XG-Web yang sama. Symantec menilai kemungkinan besar bisnis SEO menyediakan akses, pengiriman, dan infrastruktur ke dalam operasi spionase .

Keamanan Operasional yang Tidak Merata

Grup ini meninggalkan jejak bukti yang signifikan karena opsec yang buruk :

• Operator berulang kali menguji pencuri mereka terhadap browser mereka sendiri, mengumpulkan data hampir sebanyak pada diri mereka sendiri seperti pada korban mereka, termasuk:
  • Kata sandi teks jelas ke panel C2 mereka sendiri dan seed 2FA-nya
  • Token sesi operator langsung dan hash kata sandi bcrypt
  • Nama pengguna Windows pengembang dan hostname pengujian
  • Kredensial untuk forum peretasan berbahasa China (t00ls.com)
• Artefak pengembangan di basis kode termasuk jalur phpStudy WAMP lokal (C:\phpstudy_pro\WWW\), jalur produksi (/data/xg-web/backend/), dan alamat LAN pengembang yang secara eksplisit dikecualikan oleh kode implant itu sendiri.
• Klien VPN diinstal secara lokal di D:\工作软件\vpn最新\ pada host Windows NT 10.0.26200, dengan log menunjukkan pola kerja yang terkonsentrasi antara 13:00–01:00 UTC+8, routing diatur untuk melewati China daratan — konsisten dengan operator yang secara fisik berada di China.
• Catatan perangkat lunak yang diinstal merujuk pada Clash/Shadowrocket (sirkumvensi Great Firewall), AnyDesk/ToDesk, emulator Android LDPlayer, dan DeepSeek. Data sesi Telegram Desktop mengaitkan satu operator ke akun yang digunakan untuk mengiklankan layanan komersial grup.

Poin Penting

• Jewelbug adalah kelompok hacker bayaran China yang menjalankan spionase pemerintah dan penipuan kripto dari panel kontrol tunggal XG-Web.
• Operasi ini membobol lebih dari 15 penyewa webmail pemerintah di Timur Tengah, menargetkan militer dan polisi Asia Tenggara, dan menghantam produsen kedirgantaraan AS.
• Penipuan kripto menggunakan halaman bursa palsu yang dihasilkan AI dan ekstensi browser jahat untuk mencuri alamat dompet.
• Symantec mengidentifikasi individu di balik penipuan kripto menggunakan KTP dan izin usaha, tetapi tidak menemukan bukti langsung keterkaitan dengan negara China.
• Keamanan operasional yang buruk — termasuk operator menguji malware di mesin mereka sendiri — memberi penyelidik bukti yang luas.