Jewelbug: Kinesisk hackargrupp bedrev statsspionage och AI-kryptobedrägeri från en enda panel
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web. Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web.
Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien och en amerikansk flygplanstillverkare.
Kryptobedrägeriet använde AI genererade falska börssidor (OKX, Binance) och ett skadligt webbläsartillägg som tyst bytte ut plånboksadresser.
Symantec identifierade individen bakom bedrägeriverksamheten med hjälp av statligt ID och ett företagsregistreringsbevis, men fann ingen direkt koppling till den kinesiska staten.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
I augusti 2026 publicerade Symantecs Threat Hunter Team en detaljerad rapport som avslöjade att Jewelbug (även känd som Earth Alux, REF7707, CL-STA-0049) är en kinesisk hackargrupp som bedriver både statsspionage och AI-driven kryptobedrägeri från en enda centraliserad kontrollpanel kallad XG-Web. Undersökningen visade en omfattande verksamhet som loggade , och mellan februari och maj 2026 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Kinesisk hackargrupp bedrev statsspionage och AI-kryptobedrägeri från en enda panel"?
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web.
What are the key points to validate first?
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web. Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien och en amerikansk flygplanstillverkare.
What should I do next in practice?
Kryptobedrägeriet använde AI genererade falska börssidor (OKX, Binance) och ett skadligt webbläsartillägg som tyst bytte ut plånboksadresser.
Jewelbug: Kinesisk hackargrupp bedrev statsspionage och AI-kryptobedrägeri från en enda panel
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web. Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web.
Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien och en amerikansk flygplanstillverkare.
Kryptobedrägeriet använde AI genererade falska börssidor (OKX, Binance) och ett skadligt webbläsartillägg som tyst bytte ut plånboksadresser.
Symantec identifierade individen bakom bedrägeriverksamheten med hjälp av statligt ID och ett företagsregistreringsbevis, men fann ingen direkt koppling till den kinesiska staten.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
I augusti 2026 publicerade Symantecs Threat Hunter Team en detaljerad rapport som avslöjade att Jewelbug (även känd som Earth Alux, REF7707, CL-STA-0049) är en kinesisk hackargrupp som bedriver både statsspionage och AI-driven kryptobedrägeri från en enda centraliserad kontrollpanel kallad XG-Web. Undersökningen visade en omfattande verksamhet som loggade , och mellan februari och maj 2026 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Kinesisk hackargrupp bedrev statsspionage och AI-kryptobedrägeri från en enda panel"?
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web.
What are the key points to validate first?
I augusti 2026 avslöjade Symantecs Threat Hunter Team att Jewelbug (Earth Alux, REF7707), en kinesisk hackargrupp, samtidigt bedrev statsspionage och AI driven kryptobedrägeri från en enda kontrollpanel kallad XG Web. Spionaget riktade sig mot över 15 regeringsmejltjänster i Mellanöstern, militära mål i Sydostasien och en amerikansk flygplanstillverkare.
What should I do next in practice?
Kryptobedrägeriet använde AI genererade falska börssidor (OKX, Binance) och ett skadligt webbläsartillägg som tyst bytte ut plånboksadresser.
XG-Web är en webbläsarbaserad C2-panel med tre nivåer, byggd med React-frontend, Node.js-backend och MySQL-databas, med hybrid RSA-2048/AES-256-kryptering över WebSocket Secure. Gruppens egen interna dokumentation överger alla anspråk på "auktoriserad penetrationstestning" och beskriver funktioner i klartext: "kapning av webbläsare", "datastöld", "man-in-the-middle-attack" och tyst avlyssning via webbkamera/mikrofon .
Statsspionagekampanjer
Kompromettering av delad webbhotell i Mellanöstern – Jewelbug injicerade skadlig JavaScript-kod i en delad webbmejlmall som drevs av en statlig telekomoperatör i Mellanöstern, vilket drabbade över 15 regeringsmejltjänster samtidigt . Skriptet stal webbläsarkakor och skickade falska Flash/Adobe-uppdateringar som installerade Antino-bakdörren, skadliga webbläsartillägg och Linux/router-implantat .
Mål i Sydostasien – Bekräftade kampanjer mot marin, polis och arméns underrättelsetjänst i regionen .
Amerikansk flygplanstillverkare – Ett stort, namnlöst amerikanskt flygplanstillverkare var bland spionagemålen .
AI-driven kryptobedrägeri
Falska börssidor – SEO-förgiftade webbplatser som imiterade OKX och Binance, med lockbilder genererade via en kinesisk AI-bildtjänst vars inbäddade innehållsgenererings-ID kunde kopplas till operatörens konto .
Skadligt webbläsartillägg "PDF Viewer" – Ett Manifest V3 Chrome/Manifest V2 Firefox-tillägg som begär nästan hela det farliga API:t för tillägg, tyst byter ut kryptoplånboksadresser och ger operatörerna ett OS-kommandogränssnitt via en inbyggd meddelandehjälpare (com.microsoft.runedge) .
Över 40 innehållshanteringsservrar – Handtaget "paopaodada" med lösenordet 525xiaoxiao återanvändes som admininloggning över en flotta på 44 CMS-servrar och som bulkdomänregistrator .
Verksamhetens omfattning
Gruppens återfunna offers databas loggade över en miljon avlästa installationer, mer än 580 000 stulna webbläsarkakor och över 2 300 avlyssnade mejl mellan februari och maj 2026 . Denna omfattning visar hur effektivt ett litet hackarlag kan bedriva samtidiga spionage- och bedrägerioperationer med delad infrastruktur.
Attribution
Symantec bedömer med hög säkerhet att kryptobedrägeriverksamheten drivs av en namngiven individ – den enda juridiska representanten för ett företag registrerat i Changsha County, Hunan-provinsen, Kina (grundat 2019, beskrivet som ett SEO-företag). Individen använde handtaget "paopaodada" (泡泡大大) och annonserade en "webbplatsrankning uthyrning"-tjänst på Telegram med en Binance-märkt bild. Symantec återfann operatörens statliga ID-verifieringsdokument, ett företagsregistreringsbevis och ett undertecknat/stämplat auktorisationsbrev från en mediaplattform .
Inga direkta bevis kopplar Jewelbug till den kinesiska staten, men Symantec noterar att målen – regeringsministerier, militär underrättelsetjänst, en amerikansk flygplanstillverkare – gör andra förklaringar osannolika . Huruvida samma individ drev spionagekampanjerna är inte fastställt, men båda aktiviteterna delade samma infrastruktur, överlappande sidmaskeringskod, en samstämd tidslinje och samma XG-Web-panel. Symantec bedömer att det är mest sannolikt att SEO-företaget tillhandahöll åtkomst, leverans och infrastruktur till spionageoperationen .
Ojämn operativ säkerhet
Gruppen lämnade en betydande mängd bevis på grund av dålig opsec :
Operatörerna testade upprepade gånger sin stöldprogramvara mot sina egna webbläsare och samlade in nästan lika mycket data om sig själva som om sina offer, inklusive:
Lösenordet i klartext till sin egen C2-panel och dess 2FA-nyckel
Live-operatörssessionstoken och bcrypt-lösenordshashar
Utvecklarens Windows-användarnamn och testvärdnamn
Inloggningsuppgifter för ett kinesiskspråkigt hackarforum (t00ls.com)
Utvecklingsartefakter i koden inkluderade den lokala phpStudy WAMP-sökvägen (C:\phpstudy_pro\WWW\), produktionssökvägen (/data/xg-web/backend/) och en utvecklares LAN-adress som implantatets egen kod uttryckligen uteslöt från avlyssning.
VPN-klienten var installerad lokalt på D:\工作软件\vpn最新\ på en Windows NT 10.0.26200-värd, med loggar som visade ett arbetsmönster koncentrerat mellan 13:00–01:00 UTC+8, med routing inställd på att kringgå det kinesiska fastlandet – vilket är förenligt med en operatör fysiskt befinna sig i Kina.
Installerad programvara refererade till Clash/Shadowrocket (för att kringgå den kinesiska brandväggen), AnyDesk/ToDesk, LDPlayer Android-emulator och DeepSeek. Telegram Desktop-sessionsdata kopplade en operatör till kontot som användes för att annonsera gruppens kommersiella tjänster.
XG-Web är en webbläsarbaserad C2-panel med tre nivåer, byggd med React-frontend, Node.js-backend och MySQL-databas, med hybrid RSA-2048/AES-256-kryptering över WebSocket Secure. Gruppens egen interna dokumentation överger alla anspråk på "auktoriserad penetrationstestning" och beskriver funktioner i klartext: "kapning av webbläsare", "datastöld", "man-in-the-middle-attack" och tyst avlyssning via webbkamera/mikrofon .
Statsspionagekampanjer
Kompromettering av delad webbhotell i Mellanöstern – Jewelbug injicerade skadlig JavaScript-kod i en delad webbmejlmall som drevs av en statlig telekomoperatör i Mellanöstern, vilket drabbade över 15 regeringsmejltjänster samtidigt . Skriptet stal webbläsarkakor och skickade falska Flash/Adobe-uppdateringar som installerade Antino-bakdörren, skadliga webbläsartillägg och Linux/router-implantat .
Mål i Sydostasien – Bekräftade kampanjer mot marin, polis och arméns underrättelsetjänst i regionen .
Amerikansk flygplanstillverkare – Ett stort, namnlöst amerikanskt flygplanstillverkare var bland spionagemålen .
AI-driven kryptobedrägeri
Falska börssidor – SEO-förgiftade webbplatser som imiterade OKX och Binance, med lockbilder genererade via en kinesisk AI-bildtjänst vars inbäddade innehållsgenererings-ID kunde kopplas till operatörens konto .
Skadligt webbläsartillägg "PDF Viewer" – Ett Manifest V3 Chrome/Manifest V2 Firefox-tillägg som begär nästan hela det farliga API:t för tillägg, tyst byter ut kryptoplånboksadresser och ger operatörerna ett OS-kommandogränssnitt via en inbyggd meddelandehjälpare (com.microsoft.runedge) .
Över 40 innehållshanteringsservrar – Handtaget "paopaodada" med lösenordet 525xiaoxiao återanvändes som admininloggning över en flotta på 44 CMS-servrar och som bulkdomänregistrator .
Verksamhetens omfattning
Gruppens återfunna offers databas loggade över en miljon avlästa installationer, mer än 580 000 stulna webbläsarkakor och över 2 300 avlyssnade mejl mellan februari och maj 2026 . Denna omfattning visar hur effektivt ett litet hackarlag kan bedriva samtidiga spionage- och bedrägerioperationer med delad infrastruktur.
Attribution
Symantec bedömer med hög säkerhet att kryptobedrägeriverksamheten drivs av en namngiven individ – den enda juridiska representanten för ett företag registrerat i Changsha County, Hunan-provinsen, Kina (grundat 2019, beskrivet som ett SEO-företag). Individen använde handtaget "paopaodada" (泡泡大大) och annonserade en "webbplatsrankning uthyrning"-tjänst på Telegram med en Binance-märkt bild. Symantec återfann operatörens statliga ID-verifieringsdokument, ett företagsregistreringsbevis och ett undertecknat/stämplat auktorisationsbrev från en mediaplattform .
Inga direkta bevis kopplar Jewelbug till den kinesiska staten, men Symantec noterar att målen – regeringsministerier, militär underrättelsetjänst, en amerikansk flygplanstillverkare – gör andra förklaringar osannolika . Huruvida samma individ drev spionagekampanjerna är inte fastställt, men båda aktiviteterna delade samma infrastruktur, överlappande sidmaskeringskod, en samstämd tidslinje och samma XG-Web-panel. Symantec bedömer att det är mest sannolikt att SEO-företaget tillhandahöll åtkomst, leverans och infrastruktur till spionageoperationen .
Ojämn operativ säkerhet
Gruppen lämnade en betydande mängd bevis på grund av dålig opsec :
Operatörerna testade upprepade gånger sin stöldprogramvara mot sina egna webbläsare och samlade in nästan lika mycket data om sig själva som om sina offer, inklusive:
Lösenordet i klartext till sin egen C2-panel och dess 2FA-nyckel
Live-operatörssessionstoken och bcrypt-lösenordshashar
Utvecklarens Windows-användarnamn och testvärdnamn
Inloggningsuppgifter för ett kinesiskspråkigt hackarforum (t00ls.com)
Utvecklingsartefakter i koden inkluderade den lokala phpStudy WAMP-sökvägen (C:\phpstudy_pro\WWW\), produktionssökvägen (/data/xg-web/backend/) och en utvecklares LAN-adress som implantatets egen kod uttryckligen uteslöt från avlyssning.
VPN-klienten var installerad lokalt på D:\工作软件\vpn最新\ på en Windows NT 10.0.26200-värd, med loggar som visade ett arbetsmönster koncentrerat mellan 13:00–01:00 UTC+8, med routing inställd på att kringgå det kinesiska fastlandet – vilket är förenligt med en operatör fysiskt befinna sig i Kina.
Installerad programvara refererade till Clash/Shadowrocket (för att kringgå den kinesiska brandväggen), AnyDesk/ToDesk, LDPlayer Android-emulator och DeepSeek. Telegram Desktop-sessionsdata kopplade en operatör till kontot som användes för att annonsera gruppens kommersiella tjänster.
