Jewelbug: шпионаж и криптомошенничество под одной крышей

В августе 2026 года команда Symantec Threat Hunter опубликовала детальный доклад, раскрывающий, что Jewelbug (также известная как Earth Alux, REF7707, CL-STA-0049) — это китайская группа хакеров-наемников, которая ведет параллельные операции: государственный шпионаж и AI-криптомошенничество — и все это с единого командного центра под названием XG-Web . Расследование вскрыло масштабную инфраструктуру, которая зафиксировала более миллиона обращений к имплантам, более 580 000 украденных cookie-файлов браузера и свыше 2300 перехваченных писем в период с февраля по май 2026 года .

Две цели — одна платформа

XG-Web — это трехуровневая C2-панель, ориентированная на браузер; она построена на React (фронтенд), Node.js (бэкенд) и MySQL, используя гибридное шифрование RSA-2048/AES-256 поверх защищенного WebSocket. Внутренняя документация самой группы отбрасывает любые предлоги об «авторизованном тестировании на проникновение» и описывает функции простым языком: «угон браузера», «кража данных», «атака Man-in-the-Middle», а также скрытая активация веб-камеры и микрофона .

Государственный шпионаж

• Взлом общего хостинга на Ближнем Востоке: Jewelbug внедрила вредоносный JavaScript-код в общий шаблон веб-почты, который использовался государственным телекоммуникационным провайдером одной из стран региона. Это позволило единовременно поразить более 15 правительственных почтовых систем . Скрипт воровал cookie-файлы и распространял поддельные обновления Flash и Adobe, загружая бэкдор Antino, вредоносные расширения браузера и импланты для Linux/роутеров .
• Цели в Юго-Восточной Азии: Подтверждены атаки на разведывательные органы ВМС, полиции и армии в регионе .
• Аэрокосмическая отрасль США: Среди целей шпионажа оказался крупный, неназванный американский производитель самолетов .

AI-криптомошенничество

• Поддельные сайты бирж: Через SEO-отравление были созданы сайты, имитирующие OKX и Binance. Изображения для этих сайтов генерировались с помощью китайского AI-сервиса, причем встроенный ID генерации контента вел напрямую к аккаунту оператора .
• Вредоносное расширение «PDF Viewer»: Расширение для Chrome (Manifest V3) и Firefox (Manifest V2) запрашивает практически все опасные API браузера. Оно незаметно подменяет адреса криптокошельков и дает операторам доступ к командной строке через вспомогательный компонент (com.microsoft.runedge) .
• Более 40 серверов управления контентом: Учетная запись с ником «paopaodada» и паролем 525xiaoxiao использовалась для входа в админку 44 CMS-серверов, а также для массовой регистрации доменов .

Масштаб операции

База данных жертв, восстановленная исследователями, насчитывала свыше 1 миллиона обращений к имплантам, более 580 000 украденных cookie-файлов браузера и свыше 2300 перехваченных писем за февраль–май 2026 года . Этот масштаб демонстрирует, насколько эффективно небольшая группа хакеров-наемников может одновременно вести шпионаж и мошенничество, используя общую инфраструктуру.

Атрибуция

Symantec с высокой степенью уверенности считает, что за криптомошеннической частью стоит конкретное лицо — единственный законный представитель компании, зарегистрированной в уезде Чанша, провинция Хунань, Китай (основана в 2019 году, деятельность описана как SEO-бизнес). Этот человек использовал псевдоним «paopaodada» (泡泡大大) и рекламировал услугу «аренды рейтинга сайтов» в Telegram на фоне логотипа Binance. Symantec восстановил документы, удостоверяющие личность оператора, его бизнес-лицензию и подписанное письмо-авторизацию от медиаплатформы .

Прямых доказательств связи Jewelbug с китайским государством нет, однако Symantec отмечает, что цели — правительственные министерства, военная разведка, американский аэрокосмический гигант — делают любые другие объяснения маловероятными . То, управлял ли тот же человек шпионскими кампаниями, не установлено, но обе деятельности использовали одну и ту же инфраструктуру, совпадающий код обфускации страниц, согласованные временные рамки и одну панель XG-Web. Symantec полагает, что, вероятнее всего, SEO-компания предоставляла доступ, каналы доставки и инфраструктуру для шпионской деятельности .

Слабая операционная безопасность

Группа оставила после себя огромное количество улик из-за плохой опсeк (operational security) :

• Операторы неоднократно тестировали свой стилер на собственных браузерах, собрав почти столько же данных о себе, сколько и о жертвах. В числе этих данных оказались:
  • Пароль в открытом виде к собственной C2-панели и ее 2FA-ключ.
  • Активные токены сессий операторов и bcrypt-хеши паролей.
  • Имя пользователя Windows и имя тестового хоста разработчика.
  • Учетные данные для китайского хакерского форума (t00ls.com).
• В коде обнаружены артефакты разработки, включая локальный путь phpStudy WAMP (C:\phpstudy_pro\WWW\), продакшн-путь (/data/xg-web/backend/) и локальный IP-адрес разработчика, который код импланта явно исключал из сбора данных.
• VPN-клиент был установлен локально по пути D:\工作软件\vpn最新\ на хосте с Windows NT 10.0.26200. Логи показывали рабочий график с 13:00 до 01:00 по UTC+8, а маршрутизация была настроена на обход материкового Китая — что соответствует оператору, физически находящемуся внутри КНР.
• В заметках об установленном ПО упоминались Clash/Shadowrocket (инструменты для обхода «Великого файрвола»), AnyDesk/ToDesk, Android-эмулятор LDPlayer и DeepSeek. Данные сессии Telegram Desktop связали одного из операторов с аккаунтом, который использовался для рекламы коммерческих услуг группы.

Ключевые выводы

• Jewelbug — китайская хакерская группа, которая вела шпионаж в пользу государства и криптомошенничество с единой панели управления XG-Web.
• Операция затронула более 15 правительственных почтовых систем на Ближнем Востоке, военные и полицейские структуры Юго-Восточной Азии и американский аэрокосмический концерн.
• Криптомошенничество включало AI-сгенерированные поддельные страницы бирж и вредоносное расширение для кражи адресов кошельков.
• Symantec идентифицировал организатора крипто-аферы по государственным документам, но не нашел прямой связи с китайским правительством.
• Плохая операционная безопасность (операторы тестировали малварь на своих машинах) предоставила следователям обширные улики.