Jewelbug: шпионаж и криптомошенничество под одной крышей
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов... Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковал...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов...
Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковала военных и полицию в Юго Восточной Азии и американский аэрокосмический концерн.
Мошенническая схема включала поддельные сайты бирж OKX и Binance, созданные с помощью ИИ, и вредоносное расширение браузера «PDF Viewer» для кражи адресов криптокошельков.
Symantec с высокой степенью уверенности установил личность организатора крипто части — владельца SEO компании из провинции Хунань, зарегистрированной в 2019 году.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
В августе 2026 года команда Symantec Threat Hunter опубликовала детальный доклад, раскрывающий, что Jewelbug (также известная как Earth Alux, REF7707, CL-STA-0049) — это китайская группа хакеров-наемников, которая ведет параллельные операции: государственный шпионаж и AI-криптомошенничество — и все это с единого командного центра под названием XG-Web. Расследование вскрыло масштабную инфраструктуру, которая зафиксировала , и в период с февраля по май 2026 года .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Jewelbug: шпионаж и криптомошенничество под одной крышей»?
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов...
Какие ключевые моменты необходимо проверить в первую очередь?
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов... Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковала военных и полицию в Юго Восточной Азии и американский аэрокосмический концерн.
Что мне делать дальше на практике?
Мошенническая схема включала поддельные сайты бирж OKX и Binance, созданные с помощью ИИ, и вредоносное расширение браузера «PDF Viewer» для кражи адресов криптокошельков.
Jewelbug: шпионаж и криптомошенничество под одной крышей
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов... Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковал...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов...
Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковала военных и полицию в Юго Восточной Азии и американский аэрокосмический концерн.
Мошенническая схема включала поддельные сайты бирж OKX и Binance, созданные с помощью ИИ, и вредоносное расширение браузера «PDF Viewer» для кражи адресов криптокошельков.
Symantec с высокой степенью уверенности установил личность организатора крипто части — владельца SEO компании из провинции Хунань, зарегистрированной в 2019 году.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
В августе 2026 года команда Symantec Threat Hunter опубликовала детальный доклад, раскрывающий, что Jewelbug (также известная как Earth Alux, REF7707, CL-STA-0049) — это китайская группа хакеров-наемников, которая ведет параллельные операции: государственный шпионаж и AI-криптомошенничество — и все это с единого командного центра под названием XG-Web. Расследование вскрыло масштабную инфраструктуру, которая зафиксировала , и в период с февраля по май 2026 года .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Jewelbug: шпионаж и криптомошенничество под одной крышей»?
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов...
Какие ключевые моменты необходимо проверить в первую очередь?
Symantec опубликовал расследование о китайской группе Jewelbug, которая с единого командного сервера XG Web одновременно ведет кибершпионаж против иностранных правительств и занимается криптомошенничеством с использов... Группа скомпрометировала более 15 правительственных почтовых ящиков на Ближнем Востоке, атаковала военных и полицию в Юго Восточной Азии и американский аэрокосмический концерн.
Что мне делать дальше на практике?
Мошенническая схема включала поддельные сайты бирж OKX и Binance, созданные с помощью ИИ, и вредоносное расширение браузера «PDF Viewer» для кражи адресов криптокошельков.
XG-Web — это трехуровневая C2-панель, ориентированная на браузер; она построена на React (фронтенд), Node.js (бэкенд) и MySQL, используя гибридное шифрование RSA-2048/AES-256 поверх защищенного WebSocket. Внутренняя документация самой группы отбрасывает любые предлоги об «авторизованном тестировании на проникновение» и описывает функции простым языком: «угон браузера», «кража данных», «атака Man-in-the-Middle», а также скрытая активация веб-камеры и микрофона .
Государственный шпионаж
Взлом общего хостинга на Ближнем Востоке: Jewelbug внедрила вредоносный JavaScript-код в общий шаблон веб-почты, который использовался государственным телекоммуникационным провайдером одной из стран региона. Это позволило единовременно поразить более 15 правительственных почтовых систем. Скрипт воровал cookie-файлы и распространял поддельные обновления Flash и Adobe, загружая бэкдор Antino, вредоносные расширения браузера и импланты для Linux/роутеров .
Цели в Юго-Восточной Азии: Подтверждены атаки на разведывательные органы ВМС, полиции и армии в регионе .
Аэрокосмическая отрасль США: Среди целей шпионажа оказался крупный, неназванный американский производитель самолетов .
AI-криптомошенничество
Поддельные сайты бирж: Через SEO-отравление были созданы сайты, имитирующие OKX и Binance. Изображения для этих сайтов генерировались с помощью китайского AI-сервиса, причем встроенный ID генерации контента вел напрямую к аккаунту оператора .
Вредоносное расширение «PDF Viewer»: Расширение для Chrome (Manifest V3) и Firefox (Manifest V2) запрашивает практически все опасные API браузера. Оно незаметно подменяет адреса криптокошельков и дает операторам доступ к командной строке через вспомогательный компонент (com.microsoft.runedge) .
Более 40 серверов управления контентом: Учетная запись с ником «paopaodada» и паролем 525xiaoxiao использовалась для входа в админку 44 CMS-серверов, а также для массовой регистрации доменов .
Масштаб операции
База данных жертв, восстановленная исследователями, насчитывала свыше 1 миллиона обращений к имплантам, более 580 000 украденных cookie-файлов браузера и свыше 2300 перехваченных писем за февраль–май 2026 года . Этот масштаб демонстрирует, насколько эффективно небольшая группа хакеров-наемников может одновременно вести шпионаж и мошенничество, используя общую инфраструктуру.
Атрибуция
Symantec с высокой степенью уверенности считает, что за криптомошеннической частью стоит конкретное лицо — единственный законный представитель компании, зарегистрированной в уезде Чанша, провинция Хунань, Китай (основана в 2019 году, деятельность описана как SEO-бизнес). Этот человек использовал псевдоним «paopaodada» (泡泡大大) и рекламировал услугу «аренды рейтинга сайтов» в Telegram на фоне логотипа Binance. Symantec восстановил документы, удостоверяющие личность оператора, его бизнес-лицензию и подписанное письмо-авторизацию от медиаплатформы .
Прямых доказательств связи Jewelbug с китайским государством нет, однако Symantec отмечает, что цели — правительственные министерства, военная разведка, американский аэрокосмический гигант — делают любые другие объяснения маловероятными . То, управлял ли тот же человек шпионскими кампаниями, не установлено, но обе деятельности использовали одну и ту же инфраструктуру, совпадающий код обфускации страниц, согласованные временные рамки и одну панель XG-Web. Symantec полагает, что, вероятнее всего, SEO-компания предоставляла доступ, каналы доставки и инфраструктуру для шпионской деятельности .
Слабая операционная безопасность
Группа оставила после себя огромное количество улик из-за плохой опсeк (operational security) :
Операторы неоднократно тестировали свой стилер на собственных браузерах, собрав почти столько же данных о себе, сколько и о жертвах. В числе этих данных оказались:
Пароль в открытом виде к собственной C2-панели и ее 2FA-ключ.
Активные токены сессий операторов и bcrypt-хеши паролей.
Имя пользователя Windows и имя тестового хоста разработчика.
Учетные данные для китайского хакерского форума (t00ls.com).
В коде обнаружены артефакты разработки, включая локальный путь phpStudy WAMP (C:\phpstudy_pro\WWW\), продакшн-путь (/data/xg-web/backend/) и локальный IP-адрес разработчика, который код импланта явно исключал из сбора данных.
VPN-клиент был установлен локально по пути D:\工作软件\vpn最新\ на хосте с Windows NT 10.0.26200. Логи показывали рабочий график с 13:00 до 01:00 по UTC+8, а маршрутизация была настроена на обход материкового Китая — что соответствует оператору, физически находящемуся внутри КНР.
В заметках об установленном ПО упоминались Clash/Shadowrocket (инструменты для обхода «Великого файрвола»), AnyDesk/ToDesk, Android-эмулятор LDPlayer и DeepSeek. Данные сессии Telegram Desktop связали одного из операторов с аккаунтом, который использовался для рекламы коммерческих услуг группы.
Ключевые выводы
Jewelbug — китайская хакерская группа, которая вела шпионаж в пользу государства и криптомошенничество с единой панели управления XG-Web.
Операция затронула более 15 правительственных почтовых систем на Ближнем Востоке, военные и полицейские структуры Юго-Восточной Азии и американский аэрокосмический концерн.
Криптомошенничество включало AI-сгенерированные поддельные страницы бирж и вредоносное расширение для кражи адресов кошельков.
Symantec идентифицировал организатора крипто-аферы по государственным документам, но не нашел прямой связи с китайским правительством.
Плохая операционная безопасность (операторы тестировали малварь на своих машинах) предоставила следователям обширные улики.
XG-Web — это трехуровневая C2-панель, ориентированная на браузер; она построена на React (фронтенд), Node.js (бэкенд) и MySQL, используя гибридное шифрование RSA-2048/AES-256 поверх защищенного WebSocket. Внутренняя документация самой группы отбрасывает любые предлоги об «авторизованном тестировании на проникновение» и описывает функции простым языком: «угон браузера», «кража данных», «атака Man-in-the-Middle», а также скрытая активация веб-камеры и микрофона .
Государственный шпионаж
Взлом общего хостинга на Ближнем Востоке: Jewelbug внедрила вредоносный JavaScript-код в общий шаблон веб-почты, который использовался государственным телекоммуникационным провайдером одной из стран региона. Это позволило единовременно поразить более 15 правительственных почтовых систем. Скрипт воровал cookie-файлы и распространял поддельные обновления Flash и Adobe, загружая бэкдор Antino, вредоносные расширения браузера и импланты для Linux/роутеров .
Цели в Юго-Восточной Азии: Подтверждены атаки на разведывательные органы ВМС, полиции и армии в регионе .
Аэрокосмическая отрасль США: Среди целей шпионажа оказался крупный, неназванный американский производитель самолетов .
AI-криптомошенничество
Поддельные сайты бирж: Через SEO-отравление были созданы сайты, имитирующие OKX и Binance. Изображения для этих сайтов генерировались с помощью китайского AI-сервиса, причем встроенный ID генерации контента вел напрямую к аккаунту оператора .
Вредоносное расширение «PDF Viewer»: Расширение для Chrome (Manifest V3) и Firefox (Manifest V2) запрашивает практически все опасные API браузера. Оно незаметно подменяет адреса криптокошельков и дает операторам доступ к командной строке через вспомогательный компонент (com.microsoft.runedge) .
Более 40 серверов управления контентом: Учетная запись с ником «paopaodada» и паролем 525xiaoxiao использовалась для входа в админку 44 CMS-серверов, а также для массовой регистрации доменов .
Масштаб операции
База данных жертв, восстановленная исследователями, насчитывала свыше 1 миллиона обращений к имплантам, более 580 000 украденных cookie-файлов браузера и свыше 2300 перехваченных писем за февраль–май 2026 года . Этот масштаб демонстрирует, насколько эффективно небольшая группа хакеров-наемников может одновременно вести шпионаж и мошенничество, используя общую инфраструктуру.
Атрибуция
Symantec с высокой степенью уверенности считает, что за криптомошеннической частью стоит конкретное лицо — единственный законный представитель компании, зарегистрированной в уезде Чанша, провинция Хунань, Китай (основана в 2019 году, деятельность описана как SEO-бизнес). Этот человек использовал псевдоним «paopaodada» (泡泡大大) и рекламировал услугу «аренды рейтинга сайтов» в Telegram на фоне логотипа Binance. Symantec восстановил документы, удостоверяющие личность оператора, его бизнес-лицензию и подписанное письмо-авторизацию от медиаплатформы .
Прямых доказательств связи Jewelbug с китайским государством нет, однако Symantec отмечает, что цели — правительственные министерства, военная разведка, американский аэрокосмический гигант — делают любые другие объяснения маловероятными . То, управлял ли тот же человек шпионскими кампаниями, не установлено, но обе деятельности использовали одну и ту же инфраструктуру, совпадающий код обфускации страниц, согласованные временные рамки и одну панель XG-Web. Symantec полагает, что, вероятнее всего, SEO-компания предоставляла доступ, каналы доставки и инфраструктуру для шпионской деятельности .
Слабая операционная безопасность
Группа оставила после себя огромное количество улик из-за плохой опсeк (operational security) :
Операторы неоднократно тестировали свой стилер на собственных браузерах, собрав почти столько же данных о себе, сколько и о жертвах. В числе этих данных оказались:
Пароль в открытом виде к собственной C2-панели и ее 2FA-ключ.
Активные токены сессий операторов и bcrypt-хеши паролей.
Имя пользователя Windows и имя тестового хоста разработчика.
Учетные данные для китайского хакерского форума (t00ls.com).
В коде обнаружены артефакты разработки, включая локальный путь phpStudy WAMP (C:\phpstudy_pro\WWW\), продакшн-путь (/data/xg-web/backend/) и локальный IP-адрес разработчика, который код импланта явно исключал из сбора данных.
VPN-клиент был установлен локально по пути D:\工作软件\vpn最新\ на хосте с Windows NT 10.0.26200. Логи показывали рабочий график с 13:00 до 01:00 по UTC+8, а маршрутизация была настроена на обход материкового Китая — что соответствует оператору, физически находящемуся внутри КНР.
В заметках об установленном ПО упоминались Clash/Shadowrocket (инструменты для обхода «Великого файрвола»), AnyDesk/ToDesk, Android-эмулятор LDPlayer и DeepSeek. Данные сессии Telegram Desktop связали одного из операторов с аккаунтом, который использовался для рекламы коммерческих услуг группы.
Ключевые выводы
Jewelbug — китайская хакерская группа, которая вела шпионаж в пользу государства и криптомошенничество с единой панели управления XG-Web.
Операция затронула более 15 правительственных почтовых систем на Ближнем Востоке, военные и полицейские структуры Юго-Восточной Азии и американский аэрокосмический концерн.
Криптомошенничество включало AI-сгенерированные поддельные страницы бирж и вредоносное расширение для кражи адресов кошельков.
Symantec идентифицировал организатора крипто-аферы по государственным документам, но не нашел прямой связи с китайским правительством.
Плохая операционная безопасность (операторы тестировали малварь на своих машинах) предоставила следователям обширные улики.
