Jewelbug: O Grupo de Hackers que Uniu Espionagem e Golpe Cripto em um Único Painel de Controle
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web. Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web.
Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
A operação de fraude cripto usou páginas falsas geradas por IA para imitar corretoras como OKX e Binance, e uma extensão maliciosa do navegador que substituía endereços de carteiras.
A Symantec identificou o indivíduo por trás da fraude cripto por meio de documentos de identificação emitidos pelo governo chinês, mas não encontrou evidências diretas ligando o grupo ao Estado chinês.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Em agosto de 2026, a equipe Threat Hunter da Symantec publicou um dossiê detalhado revelando que o Jewelbug (também rastreado como Earth Alux, REF7707, CL-STA-0049) é um grupo de hackers mercenários baseado na China que conduz operações paralelas de espionagem governamental e fraude de criptomoedas com inteligência artificial (IA), tudo a partir de um único painel de comando e controle centralizado chamado XG-Web. A investigação descobriu uma operação de grande escala que registrou , e entre fevereiro e maio de 2026 .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Jewelbug: O Grupo de Hackers que Uniu Espionagem e Golpe Cripto em um Único Painel de Controle"?
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web.
Quais são os pontos-chave para validar primeiro?
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web. Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
O que devo fazer a seguir na prática?
A operação de fraude cripto usou páginas falsas geradas por IA para imitar corretoras como OKX e Binance, e uma extensão maliciosa do navegador que substituía endereços de carteiras.
Jewelbug: O Grupo de Hackers que Uniu Espionagem e Golpe Cripto em um Único Painel de Controle
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web. Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web.
Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
A operação de fraude cripto usou páginas falsas geradas por IA para imitar corretoras como OKX e Binance, e uma extensão maliciosa do navegador que substituía endereços de carteiras.
A Symantec identificou o indivíduo por trás da fraude cripto por meio de documentos de identificação emitidos pelo governo chinês, mas não encontrou evidências diretas ligando o grupo ao Estado chinês.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Em agosto de 2026, a equipe Threat Hunter da Symantec publicou um dossiê detalhado revelando que o Jewelbug (também rastreado como Earth Alux, REF7707, CL-STA-0049) é um grupo de hackers mercenários baseado na China que conduz operações paralelas de espionagem governamental e fraude de criptomoedas com inteligência artificial (IA), tudo a partir de um único painel de comando e controle centralizado chamado XG-Web. A investigação descobriu uma operação de grande escala que registrou , e entre fevereiro e maio de 2026 .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Jewelbug: O Grupo de Hackers que Uniu Espionagem e Golpe Cripto em um Único Painel de Controle"?
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web.
Quais são os pontos-chave para validar primeiro?
O grupo chinês Jewelbug (Earth Alux, REF7707) operou espionagem contra governos e fraudes de criptomoedas a partir de um único painel de controle, o XG Web. Em um ataque a um provedor de telecomunicações do Oriente Médio, o grupo comprometeu mais de 15 servidores de webmail governamentais, roubando cookies e e mails.
O que devo fazer a seguir na prática?
A operação de fraude cripto usou páginas falsas geradas por IA para imitar corretoras como OKX e Binance, e uma extensão maliciosa do navegador que substituía endereços de carteiras.
O XG-Web é um painel C2 (comando e controle) de três camadas, focado no navegador, construído com frontend React, backend Node.js e banco de dados MySQL, usando criptografia híbrida RSA-2048/AES-256 sobre WebSocket Secure. A documentação interna do próprio grupo abandona qualquer pretensão de "testes de penetração autorizados" e descreve as funções em termos diretos: "sequestro de navegador", "roubo de dados", "ataque man-in-the-middle" e escuta silenciosa de webcam/microfone .
Campanhas de Espionagem Governamental
Comprometimento de hospedagem compartilhada de telecomunicações do Oriente Médio — O Jewelbug injetou JavaScript malicioso em um modelo de webmail compartilhado operado por uma provedora estatal de telecomunicações do Oriente Médio, atingindo mais de 15 tenants de webmail governamental simultaneamente . Esse script roubou cookies de navegador e enviou atualizações falsas do Flash/Adobe, implantando o backdoor Antino, extensões de navegador maliciosas e implantes para Linux/roteadores .
Alvos no Sudeste Asiático — Campanhas confirmadas contra órgãos de inteligência da marinha, polícia e exército na região .
Fabricante aeroespacial dos EUA — Uma grande empresa aeroespacial americana não identificada estava entre os alvos de espionagem .
Fraude de Criptomoedas com Inteligência Artificial
Páginas falsas de corretoras — Sites com otimização para SEO (envenenamento de SEO) que imitavam a OKX e a Binance, com imagens de atração geradas por um serviço de IA de imagem chinês, cujo ID de geração de conteúdo incorporado estava vinculado à conta do operador .
Extensão maliciosa "PDF Viewer" — Uma extensão para Chrome (Manifest V3) e Firefox (Manifest V2) que solicita quase toda a API de extensão perigosa, substitui silenciosamente endereços de carteiras de criptomoedas e fornece aos operadores um shell de comando do sistema operacional por meio de um helper de mensagens nativas (com.microsoft.runedge) .
Mais de 40 servidores de gerenciamento de conteúdo — O handle "paopaodada" emparelhado com a senha 525xiaoxiao foi reutilizado como login de administrador em uma frota de 44 servidores CMS e como registrante de domínios em massa .
Escala da Operação
O banco de dados de vítimas recuperado pelo grupo registrou mais de um milhão de check-ins de implantes, mais de 580.000 cookies de navegador roubados e mais de 2.300 corpos de e-mails exfiltrados entre fevereiro e maio de 2026 . Essa escala destaca como uma pequena equipe de hackers mercenários pode conduzir operações simultâneas de espionagem e fraude usando uma infraestrutura compartilhada.
Atribuição
A Symantec avalia com alta confiança que o braço de fraude de criptomoedas é operado por um indivíduo nominal — o único representante legal de uma empresa registrada no Condado de Changsha, Província de Hunan, China (fundada em 2019, descrita como um negócio de SEO). O indivíduo usava o handle "paopaodada" (泡泡大大) e anunciava um serviço de "aluguel de ranqueamento de sites" no Telegram contra uma imagem com a marca da Binance. A Symantec recuperou os documentos de verificação de identidade emitidos pelo governo do operador, uma licença comercial e uma carta de autorização de plataforma de mídia assinada e carimbada .
Não há evidências diretas ligando o Jewelbug ao Estado chinês, mas a Symantec observa que os alvos — ministérios governamentais, inteligência militar, um fabricante aeroespacial dos EUA — tornam outras explicações improváveis . Não está estabelecido se o mesmo indivíduo operou as campanhas de espionagem, mas ambas as atividades compartilhavam a mesma infraestrutura, código de ocultação de página sobreposto, uma linha do tempo alinhada e o mesmo painel XG-Web. A Symantec avalia que é mais provável que o negócio de SEO tenha fornecido acesso, entrega e infraestrutura para a operação de espionagem .
Segurança Operacional Falha
O grupo deixou um rastro significativo de evidências devido à má segurança operacional :
Os operadores testaram repetidamente seu stealer contra seus próprios navegadores, coletando quase tantos dados sobre si mesmos quanto sobre suas vítimas, incluindo:
A senha em texto claro de seu próprio painel C2 e sua semente de 2FA
Tokens de sessão do operador ao vivo e hashes de senha bcrypt
O nome de usuário do Windows do desenvolvedor e o hostname de teste
Credenciais para um fórum de hacking em chinês (t00ls.com)
Artefatos de desenvolvimento no código-fonte incluíam o caminho local do phpStudy WAMP (C:\phpstudy_pro\WWW\), o caminho de produção (/data/xg-web/backend/) e um endereço LAN do desenvolvedor que o próprio código do implante excluía explicitamente da captura.
O cliente VPN estava instalado localmente em D:\工作软件\vpn最新\ em um host Windows NT 10.0.26200, com logs mostrando um padrão de trabalho concentrado entre 13:00–01:00 UTC+8, com roteamento configurado para contornar a China continental — consistente com um operador fisicamente dentro da China.
As notas de software instalado faziam referência a Clash/Shadowrocket (ferramentas para contornar o Grande Firewall da China), AnyDesk/ToDesk, emulador Android LDPlayer e DeepSeek. Os dados da sessão do Telegram Desktop vinculavam um operador à conta usada para anunciar os serviços comerciais do grupo.
O XG-Web é um painel C2 (comando e controle) de três camadas, focado no navegador, construído com frontend React, backend Node.js e banco de dados MySQL, usando criptografia híbrida RSA-2048/AES-256 sobre WebSocket Secure. A documentação interna do próprio grupo abandona qualquer pretensão de "testes de penetração autorizados" e descreve as funções em termos diretos: "sequestro de navegador", "roubo de dados", "ataque man-in-the-middle" e escuta silenciosa de webcam/microfone .
Campanhas de Espionagem Governamental
Comprometimento de hospedagem compartilhada de telecomunicações do Oriente Médio — O Jewelbug injetou JavaScript malicioso em um modelo de webmail compartilhado operado por uma provedora estatal de telecomunicações do Oriente Médio, atingindo mais de 15 tenants de webmail governamental simultaneamente . Esse script roubou cookies de navegador e enviou atualizações falsas do Flash/Adobe, implantando o backdoor Antino, extensões de navegador maliciosas e implantes para Linux/roteadores .
Alvos no Sudeste Asiático — Campanhas confirmadas contra órgãos de inteligência da marinha, polícia e exército na região .
Fabricante aeroespacial dos EUA — Uma grande empresa aeroespacial americana não identificada estava entre os alvos de espionagem .
Fraude de Criptomoedas com Inteligência Artificial
Páginas falsas de corretoras — Sites com otimização para SEO (envenenamento de SEO) que imitavam a OKX e a Binance, com imagens de atração geradas por um serviço de IA de imagem chinês, cujo ID de geração de conteúdo incorporado estava vinculado à conta do operador .
Extensão maliciosa "PDF Viewer" — Uma extensão para Chrome (Manifest V3) e Firefox (Manifest V2) que solicita quase toda a API de extensão perigosa, substitui silenciosamente endereços de carteiras de criptomoedas e fornece aos operadores um shell de comando do sistema operacional por meio de um helper de mensagens nativas (com.microsoft.runedge) .
Mais de 40 servidores de gerenciamento de conteúdo — O handle "paopaodada" emparelhado com a senha 525xiaoxiao foi reutilizado como login de administrador em uma frota de 44 servidores CMS e como registrante de domínios em massa .
Escala da Operação
O banco de dados de vítimas recuperado pelo grupo registrou mais de um milhão de check-ins de implantes, mais de 580.000 cookies de navegador roubados e mais de 2.300 corpos de e-mails exfiltrados entre fevereiro e maio de 2026 . Essa escala destaca como uma pequena equipe de hackers mercenários pode conduzir operações simultâneas de espionagem e fraude usando uma infraestrutura compartilhada.
Atribuição
A Symantec avalia com alta confiança que o braço de fraude de criptomoedas é operado por um indivíduo nominal — o único representante legal de uma empresa registrada no Condado de Changsha, Província de Hunan, China (fundada em 2019, descrita como um negócio de SEO). O indivíduo usava o handle "paopaodada" (泡泡大大) e anunciava um serviço de "aluguel de ranqueamento de sites" no Telegram contra uma imagem com a marca da Binance. A Symantec recuperou os documentos de verificação de identidade emitidos pelo governo do operador, uma licença comercial e uma carta de autorização de plataforma de mídia assinada e carimbada .
Não há evidências diretas ligando o Jewelbug ao Estado chinês, mas a Symantec observa que os alvos — ministérios governamentais, inteligência militar, um fabricante aeroespacial dos EUA — tornam outras explicações improváveis . Não está estabelecido se o mesmo indivíduo operou as campanhas de espionagem, mas ambas as atividades compartilhavam a mesma infraestrutura, código de ocultação de página sobreposto, uma linha do tempo alinhada e o mesmo painel XG-Web. A Symantec avalia que é mais provável que o negócio de SEO tenha fornecido acesso, entrega e infraestrutura para a operação de espionagem .
Segurança Operacional Falha
O grupo deixou um rastro significativo de evidências devido à má segurança operacional :
Os operadores testaram repetidamente seu stealer contra seus próprios navegadores, coletando quase tantos dados sobre si mesmos quanto sobre suas vítimas, incluindo:
A senha em texto claro de seu próprio painel C2 e sua semente de 2FA
Tokens de sessão do operador ao vivo e hashes de senha bcrypt
O nome de usuário do Windows do desenvolvedor e o hostname de teste
Credenciais para um fórum de hacking em chinês (t00ls.com)
Artefatos de desenvolvimento no código-fonte incluíam o caminho local do phpStudy WAMP (C:\phpstudy_pro\WWW\), o caminho de produção (/data/xg-web/backend/) e um endereço LAN do desenvolvedor que o próprio código do implante excluía explicitamente da captura.
O cliente VPN estava instalado localmente em D:\工作软件\vpn最新\ em um host Windows NT 10.0.26200, com logs mostrando um padrão de trabalho concentrado entre 13:00–01:00 UTC+8, com roteamento configurado para contornar a China continental — consistente com um operador fisicamente dentro da China.
As notas de software instalado faziam referência a Clash/Shadowrocket (ferramentas para contornar o Grande Firewall da China), AnyDesk/ToDesk, emulador Android LDPlayer e DeepSeek. Os dados da sessão do Telegram Desktop vinculavam um operador à conta usada para anunciar os serviços comerciais do grupo.
