Jewelbug: Slik kjørte en kinesisk hackergruppe statsspionasje og kryptosvindel fra samme kontrollpanel

I august 2026 publiserte Symantecs Threat Hunter Team en detaljert rapport som avslørte at Jewelbug (også sporet som Earth Alux, REF7707, CL-STA-0049) er en Kina-basert hackergruppe som drev parallelle statsspionasje- og AI-drevet kryptovalutasvindel-operasjoner fra et enkelt sentralisert kommandokontrollpanel kalt XG-Web . Etterforskningen avdekket en svært omfattende operasjon som loggførte over én million implantatinnsjekkinger, mer enn 580 000 stjålne nettleserinfokapsler og over 2 300 eksfiltrerte e-postkropper mellom februar og mai 2026 .

To operasjoner fra samme plattform

XG-Web er et tredelt nettlesersentrisk C2-panel bygget med React-frontend, Node.js-backend og MySQL-database, med hybrid RSA-2048/AES-256-kryptering over WebSocket Secure. Gruppens interne dokumentasjon dropper ethvert påskudd om «autorisert penetrasjonstesting» og beskriver funksjonene i klartekst: «nettleserkapring», «datatyveri», «man-in-the-middle-angrep» og lydløs webkamera/mikrofonavlytting .

Statsspionasjekampanjer

• Midtøsten, delt hosting-telekomkompromittering — Jewelbug injiserte ondsinnet JavaScript i en delt webmal drevet av en Midtøsten-basert statstelekomleverandør, og rammet over 15 statlige e-posttjenester samtidig . Skriptet stjal nettleserinfokapsler og dyttet falske Flash/Adobe-oppdateringer, og distribuerte Antino-bakdøren, ondsinnede nettleserutvidelser og Linux/ruter-implantater .
• Målretting i Sørøst-Asia — Bekreftede kampanjer mot marine, politi og militære etterretningsorganer i regionen .
• Amerikansk romfartsprodusent — Et stort, ikke-navngitt amerikansk romfartsselskap var blant spionasjemålene .

AI-drevet kryptovalutasvindel

• Falske børsider — SEO-forgiftede nettsteder som etterlignet OKX og Binance, med lokke-bilder generert gjennom en kinesisk KI-bildetjeneste der det innebygde innholdsgenererings-ID-en kunne spores tilbake til operatørens konto .
• Ondsinnet «PDF Viewer»-nettleserutvidelse — En Manifest V3 Chrome / Manifest V2 Firefox-utvidelse som ber om nesten hele det farlige utvidelses-API-et, erstatter kryptolommebokadresser i stillhet og gir operatørene en OS-kommandotolk via en lokal meldingsassistent (com.microsoft.runedge) .
• Over 40 innholdshåndteringsservere — Håndtaket «paopaodada» sammen med passordet 525xiaoxiao ble gjenbrukt som admin-innlogging på en flåte av 44 CMS-servere og som bulkdomene-registrant .

Omfanget av operasjonen

Gruppens gjenopprettede offerdatabase loggførte over én million implantatinnsjekkinger, mer enn 580 000 stjålne nettleserinfokapsler og over 2 300 eksfiltrerte e-postkropper mellom februar og mai 2026 . Dette omfanget viser hvor effektivt en liten hackergruppe kan drive parallelle spionasje- og svindeloperasjoner ved hjelp av delt infrastruktur.

Attribusjon

Symantec vurderer med høy sikkerhet at kryptovalutasvindeldelen drives av en navngitt person — den eneste juridiske representanten for et selskap registrert i Changsha fylke, Hunan-provinsen, Kina (grunnlagt i 2019, beskrevet som en SEO-virksomhet). Personen brukte håndtaket «paopaodada» (泡泡大大) og annonserte en «nettstedsrangering-utleie»-tjeneste på Telegram mot et Binance-merket bilde. Symantec gjenopprettet operatørens offentlige ID-verifikasjonsdokumenter, et foretaksbevis og et signert/stemplet autorisasjonsbrev for medieplattform .

Ingen direkte bevis kobler Jewelbug til den kinesiske staten, men Symantec bemerker at målrettingen — regjeringsdepartementer, militær etterretning, en amerikansk romfartsprodusent — gjør andre forklaringer usannsynlige . Hvorvidt samme person drev spionasjekampanjene er ikke fastslått, men begge aktiviteter delte samme infrastruktur, overlappende side-skjulekode, en samsvarende tidslinje og samme XG-Web-panel. Symantec vurderer det som mest sannsynlig at SEO-virksomheten leverte tilgang, distribusjon og infrastruktur til spionasjeoperasjonen .

Ujevn operasjonssikkerhet

Gruppen etterlot et betydelig spor av bevis på grunn av dårlig opsec :

• Operatørene testet gjentatte ganger sin egen stjeler mot egne nettlesere, og samlet inn nesten like mye data om seg selv som om ofrene, inkludert:
  • Klartekstpassordet til eget C2-panel og dets 2FA-frø
  • Aktive operatørsesjonstokener og bcrypt-passordhasher
  • Utviklerens Windows-brukernavn og testvertsnavn
  • Påloggingsinformasjon for et kinesiskspråklig hackerforum (t00ls.com)
• Utviklingsartefakter i kodebasen inkluderte den lokale phpStudy WAMP-stien (C:\phpstudy_pro\WWW\), produksjonsstien (/data/xg-web/backend/), og en utvikler-LAN-adresse som implantatets egen kode eksplisitt ekskluderte fra fangst.
• VPN-klienten var installert lokalt på D:\工作软件\vpn最新\ på en Windows NT 10.0.26200-vert, med logger som viste et arbeidsmønster konsentrert mellom 13:00–01:00 UTC+8, med rutingsinnstillinger for å omgå Fastlands-Kina — konsistent med en operatør fysisk inne i Kina.
• Installert programvare inkluderte referanser til Clash/Shadowrocket (omgåelse av Den store brannmuren), AnyDesk/ToDesk, LDPlayer Android-emulator og DeepSeek. Telegram Desktop-sesjonsdata knyttet en operatør til kontoen som ble brukt til å annonsere gruppens kommersielle tjenester.

Viktige funn

• Jewelbug er en Kina-basert hackergruppe som drev statsspionasje og kryptovalutasvindel fra et enkelt kommandokontrollpanel kalt XG-Web.
• Operasjonen kompromitterte over 15 statlige e-posttjenester i Midtøsten, målrettet seg mot militære og politiorganer i Sørøst-Asia, og rammet en amerikansk romfartsprodusent.
• Kryptosvindelen brukte KI-genererte falske børsider og en ondsinnet nettleserutvidelse for å stjele lommebokadresser.
• Symantec identifiserte personen bak kryptosvindeldelen ved hjelp av offentlig ID og et foretaksbevis, men fant ingen direkte kobling til den kinesiske staten.
• Dårlig operasjonssikkerhet — inkludert at operatører testet skadevare på egne maskiner — ga etterforskere omfattende bevis.