Dwie misje z jednej platformy

XG-Web to trójwarstwowy panel C2 skoncentrowany na przeglądarkach, zbudowany z frontendem React, backendem Node.js i bazą danych MySQL, wykorzystujący hybrydowe szyfrowanie RSA-2048/AES-256 przez WebSocket Secure. Wewnętrzna dokumentacja grupy porzuca wszelkie pozory „autoryzowanego testowania penetracyjnego” i opisuje funkcje wprost: „porwanie przeglądarki”, „kradzież danych”, „atak man-in-the-middle” oraz ciche przejmowanie kamery i mikrofonu .

Kampanie szpiegostwa rządowego

• Atak na współdzielony hosting na Bliskim Wschodzie – Jewelbug wstrzyknął złośliwy kod JavaScript do współdzielonego szablonu poczty internetowej obsługiwanego przez państwowego dostawcę usług telekomunikacyjnych na Bliskim Wschodzie, infekując jednocześnie ponad 15 rządowych tenantów pocztowych . Skrypt kradł ciasteczka przeglądarek i wstrzykiwał fałszywe aktualizacje Flash/Adobe, instalując backdoora Antino, złośliwe rozszerzenia przeglądarki oraz implanty na Linuksa i routery .
• Cele w Azji Południowo-Wschodniej – Potwierdzone kampanie przeciwko wywiadowi marynarki wojennej, policji i armii w regionie .
• Amerykański producent lotniczy – Wśród celów szpiegowskich znalazł się duży, nienazwany amerykański koncern lotniczy .

Oszustwa kryptowalutowe z wykorzystaniem AI

• Fałszywe strony giełd – Strony zoptymalizowane pod SEO, podszywające się pod OKX i Binance, z obrazami wygenerowanymi przez chińską usługę AI, której identyfikator treści został powiązany z kontem operatora .
• Złośliwe rozszerzenie „PDF Viewer” – Rozszerzenie dla Chrome (Manifest V3) i Firefox (Manifest V2), które żąda dostępu do prawie całego niebezpiecznego API rozszerzeń, po cichu zamienia adresy portfeli kryptowalutowych i zapewnia operatorom dostęp do powłoki systemowej przez pomocnika natywnego (com.microsoft.runedge) .
• Ponad 40 serwerów CMS – Nazwa użytkownika „paopaodada” i hasło 525xiaoxiao były wielokrotnie używane jako dane logowania administratora w sieci 44 serwerów CMS oraz przy rejestracji domen .

Skala operacji

Odzyskana baza danych ofiar grupy zawierała ponad milion zapytań implantów, ponad 580 000 skradzionych ciasteczek przeglądarek oraz ponad 2300 przechwyconych treści e-maili w okresie od lutego do maja 2026 roku . Ta skala pokazuje, jak skutecznie niewielka grupa hakerska może prowadzić jednocześnie szpiegostwo i oszustwa, korzystając ze wspólnej infrastruktury.

Atrybucja

Zespół Symantec z wysoką pewnością twierdzi, że za operacjami oszustw kryptowalutowych stoi zidentyfikowana osoba – jedyny przedstawiciel prawny firmy zarejestrowanej w powiecie Changsha w prowincji Hunan w Chinach (założonej w 2019 roku, opisanej jako biznes SEO). Osoba ta posługiwała się pseudonimem „paopaodada” (泡泡大大) i reklamowała na Telegramie usługę „wynajmu pozycji w wynikach wyszukiwania” na tle obrazu z brandingiem Binance. Symantec odzyskał dokumenty tożsamości operatora wydane przez chiński rząd, licencję biznesową oraz podpisany i opieczętowany list autoryzacyjny z platformy medialnej .

Nie ma bezpośrednich dowodów łączących Jewelbug z państwem chińskim, ale Symantec zauważa, że cele – ministerstwa rządowe, wywiad wojskowy, amerykański producent lotniczy – czynią inne wyjaśnienia mało prawdopodobnymi . Nie ustalono, czy ta sama osoba prowadziła kampanie szpiegowskie, ale obie działania dzieliły tę samą infrastrukturę, nakładający się kod maskowania stron, zbieżny harmonogram i ten sam panel XG-Web. Zdaniem Symantec, najprawdopodobniej firma SEO dostarczała dostęp, dostarczanie i infrastrukturę na potrzeby operacji szpiegowskiej .

Słabe zabezpieczenia operacyjne

Grupa pozostawiła znaczący ślad dowodowy z powodu złych praktyk w zakresie bezpieczeństwa operacyjnego (opsec) :

• Operatorzy wielokrotnie testowali swoje oprogramowanie szpiegujące na własnych przeglądarkach, gromadząc prawie tyle samo danych o sobie, co o ofiarach, w tym:
  • Hasło w postaci jawnego tekstu do własnego panelu C2 i jego seed 2FA
  • Żywe tokeny sesji operatora i skróty haseł bcrypt
  • Nazwę użytkownika Windows dewelopera i nazwę hosta testowego
  • Dane logowania do chińskojęzycznego forum hakerskiego (t00ls.com)
• Artefakty programistyczne w kodzie źródłowym zawierały lokalną ścieżkę phpStudy WAMP (C:\phpstudy_pro\WWW\), ścieżkę produkcyjną (/data/xg-web/backend/) oraz adres LAN dewelopera, który kod implantu wyraźnie wykluczał z przechwytywania.
• Klient VPN był zainstalowany lokalnie pod ścieżką D:\工作软件\vpn最新\ na hoście z systemem Windows NT 10.0.26200, a logi pokazywały wzorzec pracy skoncentrowany między 13:00 a 01:00 UTC+8, z routingiem ustawionym na pomijanie Chin kontynentalnych – co jest zgodne z operatorem fizycznie znajdującym się w Chinach.
• Notatki dotyczące zainstalowanego oprogramowania odnosiły się do Clash/Shadowrocket (narzędzia do omijania Wielkiej Zapory Ogniowej), AnyDesk/ToDesk, emulatora Androida LDPlayer i DeepSeek. Dane sesji Telegram Desktop powiązały jednego z operatorów z kontem używanym do reklamowania komercyjnych usług grupy.

Kluczowe wnioski

• Jewelbug to działająca na zlecenie grupa hakerska z Chin, która prowadziła szpiegostwo rządowe i oszustwa kryptowalutowe z jednego panelu dowodzenia XG-Web.
• Operacja naruszyła bezpieczeństwo ponad 15 rządowych skrzynek pocztowych na Bliskim Wschodzie, wymierzona była w wojskowe i policyjne cele wywiadowcze w Azji Południowo-Wschodniej oraz w amerykańskiego producenta lotniczego.
• Oszustwa kryptowalutowe wykorzystywały generowane przez AI fałszywe strony giełd oraz złośliwe rozszerzenie przeglądarki do kradzieży adresów portfeli.
• Firma Symantec zidentyfikowała osobę stojącą za ramieniem oszustw kryptowalutowych za pomocą dokumentów tożsamości i licencji biznesowej, ale nie znalazła bezpośredniego dowodu na powiązania z państwem chińskim.
• Słabe zabezpieczenia operacyjne – w tym testowanie złośliwego oprogramowania na własnych maszynach – dostarczyły śledczym obszernych dowodów.

Dwie misje z jednej platformy

XG-Web to trójwarstwowy panel C2 skoncentrowany na przeglądarkach, zbudowany z frontendem React, backendem Node.js i bazą danych MySQL, wykorzystujący hybrydowe szyfrowanie RSA-2048/AES-256 przez WebSocket Secure. Wewnętrzna dokumentacja grupy porzuca wszelkie pozory „autoryzowanego testowania penetracyjnego” i opisuje funkcje wprost: „porwanie przeglądarki”, „kradzież danych”, „atak man-in-the-middle” oraz ciche przejmowanie kamery i mikrofonu .

Kampanie szpiegostwa rządowego

• Atak na współdzielony hosting na Bliskim Wschodzie – Jewelbug wstrzyknął złośliwy kod JavaScript do współdzielonego szablonu poczty internetowej obsługiwanego przez państwowego dostawcę usług telekomunikacyjnych na Bliskim Wschodzie, infekując jednocześnie ponad 15 rządowych tenantów pocztowych . Skrypt kradł ciasteczka przeglądarek i wstrzykiwał fałszywe aktualizacje Flash/Adobe, instalując backdoora Antino, złośliwe rozszerzenia przeglądarki oraz implanty na Linuksa i routery .
• Cele w Azji Południowo-Wschodniej – Potwierdzone kampanie przeciwko wywiadowi marynarki wojennej, policji i armii w regionie .
• Amerykański producent lotniczy – Wśród celów szpiegowskich znalazł się duży, nienazwany amerykański koncern lotniczy .

Oszustwa kryptowalutowe z wykorzystaniem AI

• Fałszywe strony giełd – Strony zoptymalizowane pod SEO, podszywające się pod OKX i Binance, z obrazami wygenerowanymi przez chińską usługę AI, której identyfikator treści został powiązany z kontem operatora .
• Złośliwe rozszerzenie „PDF Viewer” – Rozszerzenie dla Chrome (Manifest V3) i Firefox (Manifest V2), które żąda dostępu do prawie całego niebezpiecznego API rozszerzeń, po cichu zamienia adresy portfeli kryptowalutowych i zapewnia operatorom dostęp do powłoki systemowej przez pomocnika natywnego (com.microsoft.runedge) .
• Ponad 40 serwerów CMS – Nazwa użytkownika „paopaodada” i hasło 525xiaoxiao były wielokrotnie używane jako dane logowania administratora w sieci 44 serwerów CMS oraz przy rejestracji domen .

Skala operacji

Odzyskana baza danych ofiar grupy zawierała ponad milion zapytań implantów, ponad 580 000 skradzionych ciasteczek przeglądarek oraz ponad 2300 przechwyconych treści e-maili w okresie od lutego do maja 2026 roku . Ta skala pokazuje, jak skutecznie niewielka grupa hakerska może prowadzić jednocześnie szpiegostwo i oszustwa, korzystając ze wspólnej infrastruktury.

Atrybucja

Zespół Symantec z wysoką pewnością twierdzi, że za operacjami oszustw kryptowalutowych stoi zidentyfikowana osoba – jedyny przedstawiciel prawny firmy zarejestrowanej w powiecie Changsha w prowincji Hunan w Chinach (założonej w 2019 roku, opisanej jako biznes SEO). Osoba ta posługiwała się pseudonimem „paopaodada” (泡泡大大) i reklamowała na Telegramie usługę „wynajmu pozycji w wynikach wyszukiwania” na tle obrazu z brandingiem Binance. Symantec odzyskał dokumenty tożsamości operatora wydane przez chiński rząd, licencję biznesową oraz podpisany i opieczętowany list autoryzacyjny z platformy medialnej .

Nie ma bezpośrednich dowodów łączących Jewelbug z państwem chińskim, ale Symantec zauważa, że cele – ministerstwa rządowe, wywiad wojskowy, amerykański producent lotniczy – czynią inne wyjaśnienia mało prawdopodobnymi . Nie ustalono, czy ta sama osoba prowadziła kampanie szpiegowskie, ale obie działania dzieliły tę samą infrastrukturę, nakładający się kod maskowania stron, zbieżny harmonogram i ten sam panel XG-Web. Zdaniem Symantec, najprawdopodobniej firma SEO dostarczała dostęp, dostarczanie i infrastrukturę na potrzeby operacji szpiegowskiej .

Słabe zabezpieczenia operacyjne

Grupa pozostawiła znaczący ślad dowodowy z powodu złych praktyk w zakresie bezpieczeństwa operacyjnego (opsec) :

• Operatorzy wielokrotnie testowali swoje oprogramowanie szpiegujące na własnych przeglądarkach, gromadząc prawie tyle samo danych o sobie, co o ofiarach, w tym:
  • Hasło w postaci jawnego tekstu do własnego panelu C2 i jego seed 2FA
  • Żywe tokeny sesji operatora i skróty haseł bcrypt
  • Nazwę użytkownika Windows dewelopera i nazwę hosta testowego
  • Dane logowania do chińskojęzycznego forum hakerskiego (t00ls.com)
• Artefakty programistyczne w kodzie źródłowym zawierały lokalną ścieżkę phpStudy WAMP (C:\phpstudy_pro\WWW\), ścieżkę produkcyjną (/data/xg-web/backend/) oraz adres LAN dewelopera, który kod implantu wyraźnie wykluczał z przechwytywania.
• Klient VPN był zainstalowany lokalnie pod ścieżką D:\工作软件\vpn最新\ na hoście z systemem Windows NT 10.0.26200, a logi pokazywały wzorzec pracy skoncentrowany między 13:00 a 01:00 UTC+8, z routingiem ustawionym na pomijanie Chin kontynentalnych – co jest zgodne z operatorem fizycznie znajdującym się w Chinach.
• Notatki dotyczące zainstalowanego oprogramowania odnosiły się do Clash/Shadowrocket (narzędzia do omijania Wielkiej Zapory Ogniowej), AnyDesk/ToDesk, emulatora Androida LDPlayer i DeepSeek. Dane sesji Telegram Desktop powiązały jednego z operatorów z kontem używanym do reklamowania komercyjnych usług grupy.

Kluczowe wnioski

• Jewelbug to działająca na zlecenie grupa hakerska z Chin, która prowadziła szpiegostwo rządowe i oszustwa kryptowalutowe z jednego panelu dowodzenia XG-Web.
• Operacja naruszyła bezpieczeństwo ponad 15 rządowych skrzynek pocztowych na Bliskim Wschodzie, wymierzona była w wojskowe i policyjne cele wywiadowcze w Azji Południowo-Wschodniej oraz w amerykańskiego producenta lotniczego.
• Oszustwa kryptowalutowe wykorzystywały generowane przez AI fałszywe strony giełd oraz złośliwe rozszerzenie przeglądarki do kradzieży adresów portfeli.
• Firma Symantec zidentyfikowała osobę stojącą za ramieniem oszustw kryptowalutowych za pomocą dokumentów tożsamości i licencji biznesowej, ale nie znalazła bezpośredniego dowodu na powiązania z państwem chińskim.
• Słabe zabezpieczenia operacyjne – w tym testowanie złośliwego oprogramowania na własnych maszynach – dostarczyły śledczym obszernych dowodów.