Jewelbug: O Grupo de Hackers que Uniu Espionagem e Golpe Cripto em um Único Painel de Controle

Operações Duais a Partir de Uma Única Plataforma

O XG-Web é um painel C2 (comando e controle) de três camadas, focado no navegador, construído com frontend React, backend Node.js e banco de dados MySQL, usando criptografia híbrida RSA-2048/AES-256 sobre WebSocket Secure. A documentação interna do próprio grupo abandona qualquer pretensão de "testes de penetração autorizados" e descreve as funções em termos diretos: "sequestro de navegador", "roubo de dados", "ataque man-in-the-middle" e escuta silenciosa de webcam/microfone .

Campanhas de Espionagem Governamental

• Comprometimento de hospedagem compartilhada de telecomunicações do Oriente Médio — O Jewelbug injetou JavaScript malicioso em um modelo de webmail compartilhado operado por uma provedora estatal de telecomunicações do Oriente Médio, atingindo mais de 15 tenants de webmail governamental simultaneamente . Esse script roubou cookies de navegador e enviou atualizações falsas do Flash/Adobe, implantando o backdoor Antino, extensões de navegador maliciosas e implantes para Linux/roteadores .
• Alvos no Sudeste Asiático — Campanhas confirmadas contra órgãos de inteligência da marinha, polícia e exército na região .
• Fabricante aeroespacial dos EUA — Uma grande empresa aeroespacial americana não identificada estava entre os alvos de espionagem .

Fraude de Criptomoedas com Inteligência Artificial

• Páginas falsas de corretoras — Sites com otimização para SEO (envenenamento de SEO) que imitavam a OKX e a Binance, com imagens de atração geradas por um serviço de IA de imagem chinês, cujo ID de geração de conteúdo incorporado estava vinculado à conta do operador .
• Extensão maliciosa "PDF Viewer" — Uma extensão para Chrome (Manifest V3) e Firefox (Manifest V2) que solicita quase toda a API de extensão perigosa, substitui silenciosamente endereços de carteiras de criptomoedas e fornece aos operadores um shell de comando do sistema operacional por meio de um helper de mensagens nativas (com.microsoft.runedge) .
• Mais de 40 servidores de gerenciamento de conteúdo — O handle "paopaodada" emparelhado com a senha 525xiaoxiao foi reutilizado como login de administrador em uma frota de 44 servidores CMS e como registrante de domínios em massa .

Escala da Operação

O banco de dados de vítimas recuperado pelo grupo registrou mais de um milhão de check-ins de implantes, mais de 580.000 cookies de navegador roubados e mais de 2.300 corpos de e-mails exfiltrados entre fevereiro e maio de 2026 . Essa escala destaca como uma pequena equipe de hackers mercenários pode conduzir operações simultâneas de espionagem e fraude usando uma infraestrutura compartilhada.

Atribuição

A Symantec avalia com alta confiança que o braço de fraude de criptomoedas é operado por um indivíduo nominal — o único representante legal de uma empresa registrada no Condado de Changsha, Província de Hunan, China (fundada em 2019, descrita como um negócio de SEO). O indivíduo usava o handle "paopaodada" (泡泡大大) e anunciava um serviço de "aluguel de ranqueamento de sites" no Telegram contra uma imagem com a marca da Binance. A Symantec recuperou os documentos de verificação de identidade emitidos pelo governo do operador, uma licença comercial e uma carta de autorização de plataforma de mídia assinada e carimbada .

Não há evidências diretas ligando o Jewelbug ao Estado chinês, mas a Symantec observa que os alvos — ministérios governamentais, inteligência militar, um fabricante aeroespacial dos EUA — tornam outras explicações improváveis . Não está estabelecido se o mesmo indivíduo operou as campanhas de espionagem, mas ambas as atividades compartilhavam a mesma infraestrutura, código de ocultação de página sobreposto, uma linha do tempo alinhada e o mesmo painel XG-Web. A Symantec avalia que é mais provável que o negócio de SEO tenha fornecido acesso, entrega e infraestrutura para a operação de espionagem .

Segurança Operacional Falha

O grupo deixou um rastro significativo de evidências devido à má segurança operacional :

• Os operadores testaram repetidamente seu stealer contra seus próprios navegadores, coletando quase tantos dados sobre si mesmos quanto sobre suas vítimas, incluindo:
  • A senha em texto claro de seu próprio painel C2 e sua semente de 2FA
  • Tokens de sessão do operador ao vivo e hashes de senha bcrypt
  • O nome de usuário do Windows do desenvolvedor e o hostname de teste
  • Credenciais para um fórum de hacking em chinês (t00ls.com)
• Artefatos de desenvolvimento no código-fonte incluíam o caminho local do phpStudy WAMP (C:\phpstudy_pro\WWW\), o caminho de produção (/data/xg-web/backend/) e um endereço LAN do desenvolvedor que o próprio código do implante excluía explicitamente da captura.
• O cliente VPN estava instalado localmente em D:\工作软件\vpn最新\ em um host Windows NT 10.0.26200, com logs mostrando um padrão de trabalho concentrado entre 13:00–01:00 UTC+8, com roteamento configurado para contornar a China continental — consistente com um operador fisicamente dentro da China.
• As notas de software instalado faziam referência a Clash/Shadowrocket (ferramentas para contornar o Grande Firewall da China), AnyDesk/ToDesk, emulador Android LDPlayer e DeepSeek. Os dados da sessão do Telegram Desktop vinculavam um operador à conta usada para anunciar os serviços comerciais do grupo.