Jewelbug: Hoe een Chinese hackgroep overheidsspionage en AI-cryptofraude combineert vanaf één paneel

In augustus 2026 publiceerde Symantecs Threat Hunter Team een gedetailleerd dossier waaruit blijkt dat Jewelbug (ook gevolgd als Earth Alux, REF7707, CL-STA-0049) een in China gevestigde huurlingenhackgroep is die parallelle overheidsspionage en AI-gestuurde cryptocurrency-fraude uitvoert vanaf één centraal command-and-control-paneel genaamd XG-Web . Het onderzoek bracht een omvangrijke operatie aan het licht die tussen februari en mei 2026 meer dan een miljoen meldingen van geïnfecteerde systemen, meer dan 580.000 gestolen browsercookies en meer dan 2.300 buitgemaakte e-mails registreerde .

Dubbele operaties vanaf één platform

XG-Web is een browsergecentreerd C2-paneel met drie lagen, gebouwd met een React-frontend, Node.js-backend en MySQL-database, met hybride RSA-2048/AES-256-codering via WebSocket Secure. De eigen interne documentatie van de groep laat elk voorwendsel van 'geautoriseerde penetratietesten' varen en beschrijft functies in duidelijke bewoordingen: 'browserkaping', 'diefstal van gegevens', 'man-in-the-middle-aanval' en stille webcam-/microfoonbeluistering .

Campagnes voor overheidsspionage

• Compromittering van gedeelde hosting in het Midden-Oosten — Jewelbug plaatste kwaadaardige JavaScript-code in een gedeelde webmailsjabloon van een staatsprovider in het Midden-Oosten, waarmee ze meer dan 15 overheidswebmaildiensten tegelijk troffen . Dit script stal browsercookies en pushte neppe Flash-/Adobe-updates, waarmee de Antino-backdoor, kwaadaardige browserextensies en Linux-/router-implantaten werden geïnstalleerd .
• Doelwitten in Zuidoost-Azië — Bevestigde campagnes gericht op marine-, politie- en legerinlichtingendiensten in de regio .
• Amerikaanse luchtvaartfabrikant — Een grote, niet nader genoemde Amerikaanse luchtvaartfabrikant was een van de spionagedoelen .

AI-gestuurde cryptocurrency-fraude

• Nepbeurspagina's — SEO-vergiftigde sites die OKX en Binance nabootsten, met lokafbeeldingen gegenereerd via een Chinese AI-beelddienst waarvan de ingebedde inhouds-ID terug te voeren was naar het account van de operator .
• Kwaadaardige 'PDF Viewer'-browserextensie — Een Manifest V3 Chrome / Manifest V2 Firefox-extensie die bijna de hele gevaarlijke API van de extensie opvraagt, stilletjes cryptocurrency-portemonnee-adressen vervangt en operators een OS-commandoshell geeft via een native messaging-hulpprogramma (com.microsoft.runedge) .
• Meer dan 40 contentmanagementservers — De gebruikersnaam 'paopaodada' met het wachtwoord 525xiaoxiao werd hergebruikt als beheerderslogin op een vloot van 44 CMS-servers en als bulkdomeinregistrant .

Omvang van de operatie

De herstelde slachtofferdatabase van de groep registreerde meer dan een miljoen meldingen van geïnfecteerde systemen, meer dan 580.000 gestolen browsercookies en meer dan 2.300 buitgemaakte e-mails tussen februari en mei 2026 . Deze omvang onderstreept hoe effectief een kleine huurlingenhackgroep gelijktijdig spionage- en fraudeoperaties kan uitvoeren met behulp van gedeelde infrastructuur.

Toeschrijving

Symantec stelt met hoge mate van zekerheid dat de cryptocurrency-fraude wordt gerund door een met naam genoemde persoon — de enige wettelijke vertegenwoordiger van een bedrijf geregistreerd in Changsha County, provincie Hunan, China (opgericht in 2019, omschreven als een SEO-bedrijf). Deze persoon gebruikte de gebruikersnaam 'paopaodada' (泡泡大大) en adverteerde op Telegram een 'website ranking rental'-dienst tegen een Binance-achtergrond. Symantec heeft de officiële identiteitsdocumenten van de operator (met echte naam), een bedrijfsvergunning en een ondertekende/gestempelde machtigingsbrief voor een mediaplatform teruggevonden .

Er is geen direct bewijs dat Jewelbug aan de Chinese staat linkt, maar Symantec merkt op dat de doelwitten — overheden, militaire inlichtingendiensten, een Amerikaanse luchtvaartfabrikant — een andere verklaring onwaarschijnlijk maken . Of dezelfde persoon ook de spionagecampagnes uitvoerde, is niet vastgesteld, maar beide activiteiten deelden dezelfde infrastructuur, overlappende pagina-verbergcode, een overeenkomende tijdlijn en hetzelfde XG-Web-paneel. Symantec acht het het meest waarschijnlijk dat het SEO-bedrijf toegang, levering en infrastructuur leverde voor de spionageoperatie .

Ongelijke operationele beveiliging

De groep liet een aanzienlijk spoor van bewijs achter door slechte opsec :

• De operators testten hun stealer herhaaldelijk op hun eigen browsers en verzamelden bijna evenveel gegevens over zichzelf als over hun slachtoffers, waaronder:
  • Het leesbare wachtwoord van hun eigen C2-paneel en de 2FA-zaadcode
  • Live operatorsessietokens en bcrypt-wachtwoordhashes
  • De Windows-gebruikersnaam en testhostnaam van de ontwikkelaar
  • Inloggegevens voor een Chinees hackingforum (t00ls.com)
• Ontwikkelingsartefacten in de codebase omvatten het lokale phpStudy WAMP-pad (C:\phpstudy_pro\WWW\), het productiepad (/data/xg-web/backend/) en een LAN-adres van de ontwikkelaar dat de eigen code van de implant expliciet uitsloot van vastlegging.
• De VPN-client was lokaal geïnstalleerd op D:\工作软件\vpn最新\ op een Windows NT 10.0.26200-host, met logboeken die een werkpatroon lieten zien tussen 13:00–01:00 UTC+8, met routering ingesteld om het Chinese vasteland te omzeilen — consistent met een operator die fysiek in China aanwezig was.
• Notities over geïnstalleerde software verwezen naar Clash/Shadowrocket (ontwijking van de Grote Firewall), AnyDesk/ToDesk, LDPlayer Android-emulator en DeepSeek. Telegram Desktop-sessiegegevens koppelden een operator aan het account dat werd gebruikt om de commerciële diensten van de groep te adverteren.