Jewelbug：中国政府スパイ活動とAI暗号通貨詐欺を同一パネルで運用するハッカー集団

シマンテックの脅威ハンターチームは2026年8月、中国拠点のハッカー集団 Jewelbug（Earth Alux、REF7707、CL-STA-0049としても追跡）が、単一の集中コマンド＆コントロールパネル XG-Web から 政府スパイ活動 と AI活用暗号通貨詐欺 を並行して運用していた詳細な報告書を公開した。この調査により、2026年2月から5月の間に 100万件以上のインプラントチェックイン、58万件以上の盗難ブラウザクッキー、2300件以上の窃取メール本文 を記録した広範な運用が明らかになった。

単一プラットフォームからの二重運用

XG-Web は、Reactフロントエンド、Node.jsバックエンド、MySQLデータベースで構築された3層ブラウザ中心のC2パネルであり、WebSocket Secure上でRSA-2048/AES-256ハイブリッド暗号化を使用する。グループ自身の内部文書は「許可された侵入テスト」という体裁を完全に捨て、「ブラウザハイジャック」「データ窃取」「中間者攻撃」、そしてサイレントなWebカメラ/マイク傍受といった機能を平易な言葉で記述している。

政府スパイ活動

• 中東通信事業者の共有ホスティング侵害 — Jewelbugは中東の国営通信事業者が運用する共有webmailテンプレートに悪意のあるJavaScriptを注入し、15以上の政府webmailテナント を同時に攻撃した。このスクリプトはブラウザクッキーを窃取し、偽のFlash/Adobeアップデートをプッシュ。Antinoバックドア、悪意のあるブラウザ拡張機能、Linux/ルーターインプラントを展開した。
• 東南アジアへの標的設定 — 同地域の 海軍、警察、軍情報機関 への攻撃キャンペーンが確認されている。
• 米航空宇宙企業 — 名前が明かされていない米国の大手航空宇宙企業もスパイ活動の標的に含まれていた。

AI活用暗号通貨詐欺

• 偽取引所ページ — OKXとBinance を装ったSEOポイズニングサイト。中国のAI画像サービスで生成された画像が使用され、その埋め込みコンテンツ生成IDが運営者のアカウントに紐付いていた。
• 悪意ある「PDF Viewer」ブラウザ拡張機能 — Manifest V3のChrome / Manifest V2のFirefox向け拡張機能で、危険な拡張機能APIのほぼ全てを要求。暗号通貨ウォレットアドレスをサイレントに置き換え、ネイティブメッセージングヘルパー（com.microsoft.runedge）を介してOSコマンドシェルへのアクセスを提供する。
• 40以上のコンテンツ管理サーバー — ハンドル「paopaodada」とパスワード 525xiaoxiao が、44台のCMSサーバー 全体の管理者ログインおよび一括ドメイン登録者として再利用されていた。

運用規模

グループの押収された被害者データベースには、2026年2月から5月の間に 100万件以上のインプラントチェックイン、58万件以上の盗難ブラウザクッキー、2300件以上の窃取メール本文 が記録されていた。この規模は、小規模なハッカー集団がいかに効率的に同一インフラを使用してスパイ活動と詐欺を同時に実行できるかを示している。

属性評価

シマンテックは、暗号通貨詐欺部門は 特定個人 — 中国湖南省長沙県に登録された企業（2019年設立、SEO事業と記載）の唯一の法定代表者 — によって運営されていると 高い確信 を持って評価している。この個人はハンドル 「paopaodada」（泡泡大大） を使用し、Binanceブランドの画像を背景にTelegramで「ウェブサイトランキングレンタル」サービスを宣伝していた。シマンテックは運営者の実名政府発行ID確認書類、営業許可証、そして署名・捺印されたメディアプラットフォーム承認書を回収している。

Jewelbugと中国国家を直接結びつける証拠はない が、シマンテックは標的（政府省庁、軍情報機関、米航空宇宙企業）を考慮すると、他の説明は考えにくいと指摘している。同一人物がスパイ活動も運営していたかは確認されていないが、両活動は同一インフラ、重複するページクローキングコード、一致するタイムライン、そして同一のXG-Webパネルを共有していた。シマンテックは、SEOビジネスがスパイ活動へのアクセス、配信、インフラを提供した可能性が最も高いと評価している。

不均衡な運用セキュリティ

グループは不十分なオペレーショナルセキュリティにより、かなりの証拠を残した：

• 運営者は自身のブラウザに対して繰り返しステイラーをテストしており、犠牲者とほぼ同量の自身のデータを収集していた。これには以下が含まれる：
  • 自身のC2パネルへの平文パスワードとその2FAシード
  • リアルタイムの運営者セッショントークンとbcryptパスワードハッシュ
  • 開発者のWindowsユーザー名とテストホスト名
  • 中国語ハッキングフォーラム（t00ls.com）の認証情報
• コードベースの開発アーティファクトには、ローカルのphpStudy WAMPパス（C:\phpstudy_pro\WWW\）、本番パス（/data/xg-web/backend/）、そしてインプラント自身のコードが明示的に捕捉から除外した開発者LANアドレスが含まれていた。
• VPNクライアントはWindows NT 10.0.26200ホストの D:\工作软件\vpn最新\ にローカルインストールされており、ログは13:00〜01:00 UTC+8に集中した勤務パターンと、中国本土をバイパスするルーティング設定を示していた。これは運営者が中国国内に物理的に存在することと一致する。
• インストール済みソフトウェアのメモは、Clash/Shadowrocket（GFW回避）、AnyDesk/ToDesk、LDPlayer Androidエミュレーター、DeepSeekを参照していた。Telegram Desktopのセッションデータは、グループの商用サービスを宣伝するために使用されたアカウントに一人の運営者を結びつけた。

主なポイント

• Jewelbugは中国政府スパイ活動と暗号通貨詐欺を単一のC2パネル「XG-Web」から運用する中国拠点のハッカー集団である。
• 中東の15以上の政府webmailテナントを侵害し、東南アジアの軍・警察、米航空宇宙企業を標的にした。
• 暗号通貨詐欺はAI生成の偽取引所ページと悪意ブラウザ拡張を使用してウォレットアドレスを窃取した。
• シマンテックは暗号通貨詐欺部門の個人を政府発行IDと営業許可証で特定したが、中国国家との直接の関連は見つかっていない。
• 運営者が自身のマシンでマルウェアをテストするなど、不十分なセキュリティが捜査機関に広範な証拠を提供した。