Jewelbug: Spionaggio e truffe crypto dalla stessa centrale operativa

Operazioni a doppio scopo da un'unica piattaforma

XG-Web è un pannello C2 a tre livelli incentrato sul browser, con frontend React, backend Node.js e database MySQL, che utilizza crittografia ibrida RSA-2048/AES-256 su WebSocket Secure. La documentazione interna del gruppo abbandona ogni pretesto di "test di penetrazione autorizzati" e descrive le funzioni in termini chiari: "dirottamento del browser", "furto di dati", "attacco man-in-the-middle" e attivazione silenziosa di webcam/microfono .

Campagne di spionaggio governativo

• Compromissione di hosting condiviso di telecomunicazioni mediorientali: Jewelbug ha iniettato JavaScript malevolo in un modello di webmail condiviso gestito da un fornitore di telecomunicazioni statale mediorientale, colpendo simultaneamente oltre 15 tenant di webmail governativa . Questo script ha rubato cookie del browser e spinto falsi aggiornamenti di Flash/Adobe, distribuendo il backdoor Antino, estensioni del browser malevole e impianti per Linux/router .
• Bersagli nel Sud-est asiatico: Campagne confermate contro forze di intelligence navale, di polizia e dell'esercito nella regione .
• Azienda aerospaziale statunitense: Tra i bersagli dello spionaggio figurava una grande azienda aerospaziale americana non nominata .

Frode con criptovalute potenziata dall'IA

• Pagine di exchange false: Siti impersonificanti OKX e Binance, ottimizzati per i motori di ricerca, con immagini esca generate tramite un servizio di IA cinese il cui ID di generazione dei contenuti incorporato è stato ricondotto all'account dell'operatore .
• Estensione del browser "PDF Viewer" malevola: Un'estensione Chrome Manifest V3 / Firefox Manifest V2 che richiede quasi l'intera API pericolosa delle estensioni, sostituisce silenziosamente gli indirizzi dei portafogli di criptovalute e fornisce agli operatori una shell di comando del sistema operativo tramite un helper di messaggistica nativo (com.microsoft.runedge) .
• Oltre 40 server di gestione dei contenuti: L'handle "paopaodada" abbinato alla password 525xiaoxiao è stato riutilizzato come login amministratore in una flotta di 44 server CMS e come registrante di domini in blocco .

Scala dell'operazione

Il database delle vittime recuperato dal gruppo ha registrato oltre un milione di connessioni di impianti malware, più di 580.000 cookie del browser rubati e più di 2.300 email esfiltrate tra febbraio e maggio 2026 . Questa scala evidenzia l'efficacia con cui un piccolo gruppo di hacker a pagamento può condurre operazioni simultanee di spionaggio e frode utilizzando infrastrutture condivise.

Attribuzione

Symantec valuta con alta attendibilità che il braccio della frode con criptovalute sia gestito da un individuo nominato — il rappresentante legale unico di una società registrata nella Contea di Changsha, Provincia di Hunan, Cina (fondata nel 2019, descritta come attività SEO). L'individuo utilizzava l'handle "paopaodada" (泡泡大大) e pubblicizzava un servizio di "noleggio di posizionamento di siti web" su Telegram su un'immagine con marchio Binance. Symantec ha recuperato i documenti di verifica dell'identità con documento d'identità rilasciato dal governo, una licenza commerciale e una lettera di autorizzazione di una piattaforma mediatica firmata e timbrata .

Non ci sono prove dirette che colleghino Jewelbug allo stato cinese, ma Symantec nota che i bersagli — ministeri governativi, intelligence militare, un'azienda aerospaziale statunitense — rendono altre spiegazioni improbabili . Non è stabilito se lo stesso individuo abbia gestito le campagne di spionaggio, ma entrambe le attività condividevano la stessa infrastruttura, codice di occultamento delle pagine sovrapposto, una cronologia allineata e lo stesso pannello XG-Web. Symantec valuta come molto probabile che l'attività SEO abbia fornito accesso, consegna e infrastruttura all'operazione di spionaggio .

Sicurezza operativa carente

Il gruppo ha lasciato una traccia significativa di prove a causa di una scarsa opsec :

• Gli operatori hanno testato ripetutamente il loro stealer sui propri browser, raccogliendo quasi altrettanti dati su se stessi quanto sulle loro vittime, inclusi:
  • La password in chiaro del proprio pannello C2 e il suo seed 2FA
  • Token di sessione degli operatori in tempo reale e hash di password bcrypt
  • Il nome utente Windows dello sviluppatore e l'hostname di test
  • Credenziali per un forum di hacking in lingua cinese (t00ls.com)
• I manufatti di sviluppo nel codice includevano il percorso locale di phpStudy WAMP (C:\phpstudy_pro\WWW\), il percorso di produzione (/data/xg-web/backend/) e un indirizzo LAN dello sviluppatore che il codice dell'impianto escludeva esplicitamente dalla cattura.
• Il client VPN era installato localmente su D:\工作软件\vpn最新\ su un host Windows NT 10.0.26200, con log che mostravano un modello di lavoro concentrato tra le 13:00 e le 01:00 UTC+8, con routing impostato per bypassare la Cina continentale — coerente con un operatore fisicamente in Cina.
• Le note del software installato facevano riferimento a Clash/Shadowrocket (strumenti per aggirare il Great Firewall), AnyDesk/ToDesk, l'emulatore Android LDPlayer e DeepSeek. I dati della sessione di Telegram Desktop hanno collegato un operatore all'account utilizzato per pubblicizzare i servizi commerciali del gruppo.