제이웰버그: 하나의 명령 패널로 정부 스파이 활동과 암호화폐 사기를 동시에 벌인 중국 해커 그룹

하나의 플랫폼에서 운영된 이중 작전

XG-Web은 React 프론트엔드, Node.js 백엔드, MySQL 데이터베이스로 구축된 3계층 브라우저 중심 C2 패널로, WebSocket Secure를 통해 하이브리드 RSA-2048/AES-256 암호화를 사용합니다. 그룹의 내부 문서는 '승인된 침투 테스트'라는 가식을 버리고 기능을 '브라우저 하이재킹', '데이터 절도', '중간자 공격', 무음 웹캠/마이크 청취 등으로 솔직하게 설명하고 있습니다 .

정부 스파이 활동 캠페인

• 중동 통신사 공유 호스팅 침해 — 제이웰버그는 중동 국영 통신 제공업체가 운영하는 공유 웹메일 템플릿에 악성 JavaScript를 주입하여 15개 이상의 정부 웹메일 테넌트를 동시에 공격했습니다 . 이 스크립트는 브라우저 쿠키를 훔치고 가짜 Flash/Adobe 업데이트를 푸시하여 Antino 백도어, 악성 브라우저 확장 프로그램, Linux/라우터 임플란트를 배포했습니다 .
• 동남아시아 표적 공격 — 해당 지역의 해군, 경찰, 육군 정보기관을 대상으로 한 캠페인이 확인되었습니다 .
• 미국 항공우주 제조사 — 이름이 공개되지 않은 주요 미국 항공우주 회사도 스파이 활동 표적 중 하나였습니다 .

AI 기반 암호화폐 사기

• 가짜 거래소 페이지 — OKX 및 바이낸스를 사칭한 SEO 중독 사이트로, 중국 AI 이미지 서비스를 통해 생성된 유인 이미지를 사용했으며, 해당 서비스의 콘텐츠 생성 ID가 운영자 계정에 연결되었습니다 .
• 악성 'PDF Viewer' 브라우저 확장 프로그램 — Manifest V3 Chrome / Manifest V2 Firefox 확장 프로그램으로, 거의 모든 위험한 확장 API를 요청하며 암호화폐 지갑 주소를 자동으로 교체하고, 기본 메시징 도우미(com.microsoft.runedge)를 통해 운영자에게 OS 명령 셸을 제공합니다 .
• 40개 이상의 콘텐츠 관리 서버 — 'paopaodada'라는 핸들과 비밀번호 525xiaoxiao가 44개 CMS 서버의 관리자 로그인 및 대량 도메인 등록자로 재사용되었습니다 .

운영 규모

그룹의 피해자 데이터베이스에는 2026년 2월부터 5월 사이에 100만 건 이상의 임플란트 체크인, 58만 개 이상의 탈취된 브라우저 쿠키, 2,300개 이상의 유출된 이메일 본문이 기록되었습니다 . 이 규모는 소규모 용병 해커 그룹이 공유 인프라를 사용하여 스파이 활동과 사기를 동시에 얼마나 효과적으로 운영할 수 있는지를 보여줍니다.

귀속(Attribution)

시만텍은 암호화폐 사기 부문이 특정 개인 — 중국 후난성 창사현(Changsha County, Hunan Province)에 등록된 회사(2019년 설립, SEO 사업으로 설명됨)의 유일한 법정 대리인 — 에 의해 운영된다고 높은 신뢰도로 평가합니다. 이 개인은 'paopaodada'(泡泡大大)라는 핸들을 사용했으며, 텔레그램에서 바이낸스 브랜드 이미지와 함께 '웹사이트 랭킹 임대' 서비스를 광고했습니다. 시만텍은 운영자의 실명 정부 발급 신분증, 사업자 등록증, 서명 및 날인이 있는 미디어 플랫폼 승인 서신을 확보했습니다 .

제이웰버그와 중국 국가를 직접 연결하는 증거는 없지만, 시만텍은 표적(정부 부처, 군사 정보기관, 미국 항공우주 제조사)을 고려할 때 다른 설명은 현실적이지 않다고 지적합니다 . 동일한 개인이 스파이 활동 캠페인을 운영했는지는 확인되지 않았지만, 두 활동 모두 동일한 인프라, 중복되는 페이지 클로킹 코드, 일치하는 타임라인, 동일한 XG-Web 패널을 공유했습니다. 시만텍은 SEO 사업체가 스파이 활동에 접근, 전달, 인프라를 제공했을 가능성이 가장 높다고 평가합니다 .

부실한 작전 보안

그룹은 취약한 작전 보안(opsec)으로 인해 상당한 증거를 남겼습니다 :

• 운영자들은 자신들의 브라우저에서 도용 프로그램을 반복적으로 테스트하여 피해자 데이터만큼 많은 자체 데이터를 수집했습니다. 여기에는 다음이 포함됩니다:
  • 자체 C2 패널의 일반 텍스트 비밀번호와 2FA 시드
  • 실시간 운영자 세션 토큰 및 bcrypt 비밀번호 해시
  • 개발자의 Windows 사용자 이름 및 테스트 호스트명
  • 중국어 해킹 포럼(t00ls.com)의 자격 증명
• 코드베이스의 개발 아티팩트에는 로컬 phpStudy WAMP 경로(C:\phpstudy_pro\WWW\), 프로덕션 경로(/data/xg-web/backend/), 임플란트 코드가 명시적으로 캡처에서 제외한 개발자 LAN 주소가 포함되었습니다.
• VPN 클라이언트는 Windows NT 10.0.26200 호스트의 D:\工作软件\vpn最新\에 로컬로 설치되었으며, 로그는 13:00~01:00 UTC+8 사이에 집중된 작업 패턴과 중국 본토를 우회하는 라우팅 설정을 보여주었습니다. 이는 운영자가 실제로 중국 내에 있음을 시사합니다.
• 설치된 소프트웨어 기록에는 Clash/Shadowrocket(그레이트 파이어월 우회 도구), AnyDesk/ToDesk, LDPlayer Android 에뮬레이터, DeepSeek가 포함되었습니다. 텔레그램 데스크톱 세션 데이터는 한 운영자를 그룹의 상업 서비스를 광고하는 데 사용된 계정과 연결했습니다.

주요 요점

• 제이웰버그는 중국 기반 용병 해커 그룹으로, 단일 명령 및 제어 패널 XG-Web을 사용하여 정부 스파이 활동과 암호화폐 사기를 운영했습니다.
• 이 작전은 중동 15개 이상 정부 웹메일 테넌트를 침해하고, 동남아시아 군사 및 경찰 기관을 표적으로 삼았으며, 미국 항공우주 제조사를 공격했습니다.
• 암호화폐 사기는 AI 생성 가짜 거래소 페이지와 악성 브라우저 확장 프로그램을 사용하여 지갑 주소를 도용했습니다.
• 시만텍은 정부 발급 신분증과 사업자 등록증을 사용하여 암호화폐 사기 부문의 개인을 식별했지만, 중국 국가와의 직접적인 연관성은 발견하지 못했습니다.
• 운영자들이 자신의 기계에서 악성코드를 테스트하는 등 부실한 작전 보안으로 인해 조사관들에게 광범위한 증거를 제공했습니다.