Jewelbug: Kinesisk hackargrupp bedrev statsspionage och AI-kryptobedrägeri från en enda panel

Dubbla uppdrag från en plattform

XG-Web är en webbläsarbaserad C2-panel med tre nivåer, byggd med React-frontend, Node.js-backend och MySQL-databas, med hybrid RSA-2048/AES-256-kryptering över WebSocket Secure. Gruppens egen interna dokumentation överger alla anspråk på "auktoriserad penetrationstestning" och beskriver funktioner i klartext: "kapning av webbläsare", "datastöld", "man-in-the-middle-attack" och tyst avlyssning via webbkamera/mikrofon .

Statsspionagekampanjer

• Kompromettering av delad webbhotell i Mellanöstern – Jewelbug injicerade skadlig JavaScript-kod i en delad webbmejlmall som drevs av en statlig telekomoperatör i Mellanöstern, vilket drabbade över 15 regeringsmejltjänster samtidigt . Skriptet stal webbläsarkakor och skickade falska Flash/Adobe-uppdateringar som installerade Antino-bakdörren, skadliga webbläsartillägg och Linux/router-implantat .
• Mål i Sydostasien – Bekräftade kampanjer mot marin, polis och arméns underrättelsetjänst i regionen .
• Amerikansk flygplanstillverkare – Ett stort, namnlöst amerikanskt flygplanstillverkare var bland spionagemålen .

AI-driven kryptobedrägeri

• Falska börssidor – SEO-förgiftade webbplatser som imiterade OKX och Binance, med lockbilder genererade via en kinesisk AI-bildtjänst vars inbäddade innehållsgenererings-ID kunde kopplas till operatörens konto .
• Skadligt webbläsartillägg "PDF Viewer" – Ett Manifest V3 Chrome/Manifest V2 Firefox-tillägg som begär nästan hela det farliga API:t för tillägg, tyst byter ut kryptoplånboksadresser och ger operatörerna ett OS-kommandogränssnitt via en inbyggd meddelandehjälpare (com.microsoft.runedge) .
• Över 40 innehållshanteringsservrar – Handtaget "paopaodada" med lösenordet 525xiaoxiao återanvändes som admininloggning över en flotta på 44 CMS-servrar och som bulkdomänregistrator .

Verksamhetens omfattning

Gruppens återfunna offers databas loggade över en miljon avlästa installationer, mer än 580 000 stulna webbläsarkakor och över 2 300 avlyssnade mejl mellan februari och maj 2026 . Denna omfattning visar hur effektivt ett litet hackarlag kan bedriva samtidiga spionage- och bedrägerioperationer med delad infrastruktur.

Attribution

Symantec bedömer med hög säkerhet att kryptobedrägeriverksamheten drivs av en namngiven individ – den enda juridiska representanten för ett företag registrerat i Changsha County, Hunan-provinsen, Kina (grundat 2019, beskrivet som ett SEO-företag). Individen använde handtaget "paopaodada" (泡泡大大) och annonserade en "webbplatsrankning uthyrning"-tjänst på Telegram med en Binance-märkt bild. Symantec återfann operatörens statliga ID-verifieringsdokument, ett företagsregistreringsbevis och ett undertecknat/stämplat auktorisationsbrev från en mediaplattform .

Inga direkta bevis kopplar Jewelbug till den kinesiska staten, men Symantec noterar att målen – regeringsministerier, militär underrättelsetjänst, en amerikansk flygplanstillverkare – gör andra förklaringar osannolika . Huruvida samma individ drev spionagekampanjerna är inte fastställt, men båda aktiviteterna delade samma infrastruktur, överlappande sidmaskeringskod, en samstämd tidslinje och samma XG-Web-panel. Symantec bedömer att det är mest sannolikt att SEO-företaget tillhandahöll åtkomst, leverans och infrastruktur till spionageoperationen .

Ojämn operativ säkerhet

Gruppen lämnade en betydande mängd bevis på grund av dålig opsec :

• Operatörerna testade upprepade gånger sin stöldprogramvara mot sina egna webbläsare och samlade in nästan lika mycket data om sig själva som om sina offer, inklusive:
  • Lösenordet i klartext till sin egen C2-panel och dess 2FA-nyckel
  • Live-operatörssessionstoken och bcrypt-lösenordshashar
  • Utvecklarens Windows-användarnamn och testvärdnamn
  • Inloggningsuppgifter för ett kinesiskspråkigt hackarforum (t00ls.com)
• Utvecklingsartefakter i koden inkluderade den lokala phpStudy WAMP-sökvägen (C:\phpstudy_pro\WWW\), produktionssökvägen (/data/xg-web/backend/) och en utvecklares LAN-adress som implantatets egen kod uttryckligen uteslöt från avlyssning.
• VPN-klienten var installerad lokalt på D:\工作软件\vpn最新\ på en Windows NT 10.0.26200-värd, med loggar som visade ett arbetsmönster koncentrerat mellan 13:00–01:00 UTC+8, med routing inställd på att kringgå det kinesiska fastlandet – vilket är förenligt med en operatör fysiskt befinna sig i Kina.
• Installerad programvara refererade till Clash/Shadowrocket (för att kringgå den kinesiska brandväggen), AnyDesk/ToDesk, LDPlayer Android-emulator och DeepSeek. Telegram Desktop-sessionsdata kopplade en operatör till kontot som användes för att annonsera gruppens kommersiella tjänster.