Dua Operasi dari Satu Platform

XG-Web adalah panel C2 tiga peringkat yang berpusatkan penyemak imbas, dibina dengan antara muka React, bahagian belakang Node.js, dan pangkalan data MySQL, menggunakan enkripsi hibrid RSA-2048/AES-256 melalui WebSocket Secure. Dokumentasi dalaman kumpulan itu tidak lagi berpura-pura sebagai "ujian penembusan yang dibenarkan" dan menggambarkan fungsi dalam istilah biasa: "rampasan penyemak imbas," "curi data," "serangan orang-tengah," dan pendengaran senyap kamera web/mikrofon .

Kempen Pengintipan Kerajaan

• Pengkompromian hos perkongsian telekom Timur Tengah — Jewelbug menyuntik JavaScript berniat jahat ke dalam templat e-mel web yang dikongsi oleh penyedia telekomunikasi negeri Timur Tengah, mengenai lebih 15 penyewa e-mel web kerajaan secara serentak . Skrip ini mencuri kuki penyemak imbas dan menolak kemas kini Flash/Adobe palsu, menggunakan pintu belakang Antino, sambungan penyemak imbas berniat jahat, dan implan Linux/router .
• Sasaran Asia Tenggara — Kempen yang disahkan menyasarkan badan perisikan tentera laut, polis, dan tentera di rantau ini .
• Pengilang aeroangkasa AS — Sebuah syarikat aeroangkasa Amerika yang besar dan tidak dinamakan adalah antara sasaran pengintipan .

Penipuan Mata Wang Kripto Berkuasa AI

• Halaman pertukaran palsu — Laman web yang diracuni SEO menyamar sebagai OKX dan Binance, dengan imej umpan yang dihasilkan melalui perkhidmatan imej AI China yang ID penjanaan kandungannya terikat dengan akaun pengendali .
• Sambungan penyemak imbas "PDF Viewer" berniat jahat — Sambungan Chrome Manifest V3 / Firefox Manifest V2 yang meminta hampir keseluruhan API sambungan berbahaya, secara senyap menggantikan alamat dompet mata wang kripto, dan menyediakan pengendali cangkerang arahan OS melalui pembantu mesej asli (com.microsoft.runedge) .
• Lebih 40 pelayan pengurusan kandungan — Handle "paopaodada" dipasangkan dengan kata laluan 525xiaoxiao digunakan semula sebagai log masuk admin merentas 44 pelayan CMS dan sebagai pendaftar domain pukal .

Skala Operasi

Pangkalan data mangsa yang dipulihkan kumpulan itu mencatatkan lebih satu juta daftar masuk植入, lebih 580,000 kuki penyemak imbas yang dicuri, dan lebih 2,300 e-mel yang diekstrak antara Februari dan Mei 2026 . Skala ini menunjukkan betapa berkesannya kru penggodam upahan kecil boleh menjalankan operasi pengintipan dan penipuan serentak menggunakan infrastruktur yang dikongsi.

Atribusi

Symantec menilai dengan keyakinan tinggi bahawa cabang penipuan mata wang kripto dijalankan oleh individu bernama — wakil undang-undang tunggal sebuah syarikat yang didaftarkan di Changsha County, Wilayah Hunan, China (ditubuhkan 2019, digambarkan sebagai perniagaan SEO). Individu itu menggunakan handle "paopaodada" (泡泡大大) dan mengiklankan perkhidmatan "sewa kedudukan laman web" di Telegram dengan imej berjenama Binance. Symantec memperoleh dokumen pengenalan ID kerajaan nama sebenar pengendali, lesen perniagaan, dan surat kebenaran platform media yang ditandatangani dan dicop .

Tiada bukti langsung menghubungkan Jewelbug dengan negara China, tetapi Symantec menyatakan sasaran — kementerian kerajaan, perisikan tentera, pengilang aeroangkasa AS — menjadikan penjelasan lain tidak mungkin . Sama ada individu yang sama mengendalikan kempen pengintipan tidak dapat dipastikan, tetapi kedua-dua aktiviti berkongsi infrastruktur yang sama, kod penyembunyian halaman yang bertindih, garis masa yang selaras, dan panel XG-Web yang sama. Symantec menilai kemungkinan besar perniagaan SEO membekalkan akses, penghantaran, dan infrastruktur kepada operasi pengintipan .

Keselamatan Operasi yang Tidak Sekata

Kumpulan itu meninggalkan jejak bukti yang ketara akibat opsek yang lemah :

• Pengendali berulang kali menguji pencuri mereka terhadap penyemak imbas mereka sendiri, mengumpul hampir sebanyak data mengenai diri mereka seperti mangsa mereka, termasuk:
  • Kata laluan teks jelas ke panel C2 mereka sendiri dan benih 2FA
  • Token sesi pengendali langsung dan hash kata laluan bcrypt
  • Nama pengguna Windows pemaju dan nama hos ujian
  • Kredensial untuk forum penggodaman bahasa Cina (t00ls.com)
• Artifak pembangunan dalam pangkalan kod termasuk laluan WAMP phpStudy tempatan (C:\phpstudy_pro\WWW\), laluan pengeluaran (/data/xg-web/backend/), dan alamat LAN pemaju yang dikecualikan secara eksplisit oleh kod implan daripada tangkapan.
• Pelanggan VPN dipasang secara tempatan di D:\工作软件\vpn最新\ pada hos Windows NT 10.0.26200, dengan log menunjukkan corak kerja yang tertumpu antara 13:00–01:00 UTC+8, laluan ditetapkan untuk memintas China daratan — konsisten dengan pengendali yang berada secara fizikal di dalam China.
• Nota perisian yang dipasang merujuk Clash/Shadowrocket (pemintasan Tembok Besar), AnyDesk/ToDesk, emulator Android LDPlayer, dan DeepSeek. Data sesi Telegram Desktop mengikat satu pengendali ke akaun yang digunakan untuk mengiklankan perkhidmatan komersial kumpulan itu.

Rumusan Utama

• Jewelbug adalah kumpulan penggodam upahan dari China yang menjalankan pengintipan kerajaan dan penipuan mata wang kripto dari satu panel arahan dan kawalan yang dipanggil XG-Web.
• Operasi itu menjejaskan lebih 15 penyewa e-mel kerajaan di Timur Tengah, menyasarkan badan tentera dan polis Asia Tenggara, dan sebuah pengilang aeroangkasa AS.
• Penipuan mata wang kripto menggunakan halaman pertukaran palsu yang dijana AI dan sambungan penyemak imbas berniat jahat untuk mencuri alamat dompet.
• Symantec mengenal pasti individu di sebalik cabang penipuan kripto menggunakan ID kerajaan dan lesen perniagaan, tetapi tidak menemui bukti langsung yang menghubungkannya dengan negara China.
• Keselamatan operasi yang lemah — termasuk pengendali menguji perisian hasad pada mesin mereka sendiri — memberikan penyiasat bukti yang meluas.

Dua Operasi dari Satu Platform

XG-Web adalah panel C2 tiga peringkat yang berpusatkan penyemak imbas, dibina dengan antara muka React, bahagian belakang Node.js, dan pangkalan data MySQL, menggunakan enkripsi hibrid RSA-2048/AES-256 melalui WebSocket Secure. Dokumentasi dalaman kumpulan itu tidak lagi berpura-pura sebagai "ujian penembusan yang dibenarkan" dan menggambarkan fungsi dalam istilah biasa: "rampasan penyemak imbas," "curi data," "serangan orang-tengah," dan pendengaran senyap kamera web/mikrofon .

Kempen Pengintipan Kerajaan

• Pengkompromian hos perkongsian telekom Timur Tengah — Jewelbug menyuntik JavaScript berniat jahat ke dalam templat e-mel web yang dikongsi oleh penyedia telekomunikasi negeri Timur Tengah, mengenai lebih 15 penyewa e-mel web kerajaan secara serentak . Skrip ini mencuri kuki penyemak imbas dan menolak kemas kini Flash/Adobe palsu, menggunakan pintu belakang Antino, sambungan penyemak imbas berniat jahat, dan implan Linux/router .
• Sasaran Asia Tenggara — Kempen yang disahkan menyasarkan badan perisikan tentera laut, polis, dan tentera di rantau ini .
• Pengilang aeroangkasa AS — Sebuah syarikat aeroangkasa Amerika yang besar dan tidak dinamakan adalah antara sasaran pengintipan .

Penipuan Mata Wang Kripto Berkuasa AI

• Halaman pertukaran palsu — Laman web yang diracuni SEO menyamar sebagai OKX dan Binance, dengan imej umpan yang dihasilkan melalui perkhidmatan imej AI China yang ID penjanaan kandungannya terikat dengan akaun pengendali .
• Sambungan penyemak imbas "PDF Viewer" berniat jahat — Sambungan Chrome Manifest V3 / Firefox Manifest V2 yang meminta hampir keseluruhan API sambungan berbahaya, secara senyap menggantikan alamat dompet mata wang kripto, dan menyediakan pengendali cangkerang arahan OS melalui pembantu mesej asli (com.microsoft.runedge) .
• Lebih 40 pelayan pengurusan kandungan — Handle "paopaodada" dipasangkan dengan kata laluan 525xiaoxiao digunakan semula sebagai log masuk admin merentas 44 pelayan CMS dan sebagai pendaftar domain pukal .

Skala Operasi

Pangkalan data mangsa yang dipulihkan kumpulan itu mencatatkan lebih satu juta daftar masuk植入, lebih 580,000 kuki penyemak imbas yang dicuri, dan lebih 2,300 e-mel yang diekstrak antara Februari dan Mei 2026 . Skala ini menunjukkan betapa berkesannya kru penggodam upahan kecil boleh menjalankan operasi pengintipan dan penipuan serentak menggunakan infrastruktur yang dikongsi.

Atribusi

Symantec menilai dengan keyakinan tinggi bahawa cabang penipuan mata wang kripto dijalankan oleh individu bernama — wakil undang-undang tunggal sebuah syarikat yang didaftarkan di Changsha County, Wilayah Hunan, China (ditubuhkan 2019, digambarkan sebagai perniagaan SEO). Individu itu menggunakan handle "paopaodada" (泡泡大大) dan mengiklankan perkhidmatan "sewa kedudukan laman web" di Telegram dengan imej berjenama Binance. Symantec memperoleh dokumen pengenalan ID kerajaan nama sebenar pengendali, lesen perniagaan, dan surat kebenaran platform media yang ditandatangani dan dicop .

Tiada bukti langsung menghubungkan Jewelbug dengan negara China, tetapi Symantec menyatakan sasaran — kementerian kerajaan, perisikan tentera, pengilang aeroangkasa AS — menjadikan penjelasan lain tidak mungkin . Sama ada individu yang sama mengendalikan kempen pengintipan tidak dapat dipastikan, tetapi kedua-dua aktiviti berkongsi infrastruktur yang sama, kod penyembunyian halaman yang bertindih, garis masa yang selaras, dan panel XG-Web yang sama. Symantec menilai kemungkinan besar perniagaan SEO membekalkan akses, penghantaran, dan infrastruktur kepada operasi pengintipan .

Keselamatan Operasi yang Tidak Sekata

Kumpulan itu meninggalkan jejak bukti yang ketara akibat opsek yang lemah :

• Pengendali berulang kali menguji pencuri mereka terhadap penyemak imbas mereka sendiri, mengumpul hampir sebanyak data mengenai diri mereka seperti mangsa mereka, termasuk:
  • Kata laluan teks jelas ke panel C2 mereka sendiri dan benih 2FA
  • Token sesi pengendali langsung dan hash kata laluan bcrypt
  • Nama pengguna Windows pemaju dan nama hos ujian
  • Kredensial untuk forum penggodaman bahasa Cina (t00ls.com)
• Artifak pembangunan dalam pangkalan kod termasuk laluan WAMP phpStudy tempatan (C:\phpstudy_pro\WWW\), laluan pengeluaran (/data/xg-web/backend/), dan alamat LAN pemaju yang dikecualikan secara eksplisit oleh kod implan daripada tangkapan.
• Pelanggan VPN dipasang secara tempatan di D:\工作软件\vpn最新\ pada hos Windows NT 10.0.26200, dengan log menunjukkan corak kerja yang tertumpu antara 13:00–01:00 UTC+8, laluan ditetapkan untuk memintas China daratan — konsisten dengan pengendali yang berada secara fizikal di dalam China.
• Nota perisian yang dipasang merujuk Clash/Shadowrocket (pemintasan Tembok Besar), AnyDesk/ToDesk, emulator Android LDPlayer, dan DeepSeek. Data sesi Telegram Desktop mengikat satu pengendali ke akaun yang digunakan untuk mengiklankan perkhidmatan komersial kumpulan itu.

Rumusan Utama

• Jewelbug adalah kumpulan penggodam upahan dari China yang menjalankan pengintipan kerajaan dan penipuan mata wang kripto dari satu panel arahan dan kawalan yang dipanggil XG-Web.
• Operasi itu menjejaskan lebih 15 penyewa e-mel kerajaan di Timur Tengah, menyasarkan badan tentera dan polis Asia Tenggara, dan sebuah pengilang aeroangkasa AS.
• Penipuan mata wang kripto menggunakan halaman pertukaran palsu yang dijana AI dan sambungan penyemak imbas berniat jahat untuk mencuri alamat dompet.
• Symantec mengenal pasti individu di sebalik cabang penipuan kripto menggunakan ID kerajaan dan lesen perniagaan, tetapi tidak menemui bukti langsung yang menghubungkannya dengan negara China.
• Keselamatan operasi yang lemah — termasuk pengendali menguji perisian hasad pada mesin mereka sendiri — memberikan penyiasat bukti yang meluas.