Jewelbug: เปิดโปงปฏิบัติการคู่ขนาน จารกรรมรัฐบาลจีน และหลอกลวงคริปโตด้วย AI จากแผงควบคุมเดียว

ในเดือนสิงหาคม 2026 ทีมวิจัย Symantec Threat Hunter ได้เปิดเผยรายงานสำคัญระบุว่า Jewelbug (หรือที่รู้จักในชื่อ Earth Alux, REF7707, CL-STA-0049) เป็นกลุ่มแฮกเกอร์รับจ้างสัญชาติจีนที่ดำเนินปฏิบัติการคู่ขนานทั้ง การจารกรรมรัฐบาล และ การหลอกลวงคริปโตเคอเรนซีด้วยเทคโนโลยี AI จากแผงควบคุมสั่งการกลางที่เรียกว่า XG-Web เพียงระบบเดียว รายงานพบข้อมูลในฐานข้อมูลเหยื่อมากกว่า 1 ล้านครั้งที่มีการติดต่อกลับของมัลแวร์, คุกกี้เบราว์เซอร์ที่ถูกขโมยมากกว่า 580,000 รายการ และ เนื้อหาอีเมลที่ถูกขโมยมากกว่า 2,300 ฉบับ ระหว่างเดือนกุมภาพันธ์ถึงพฤษภาคม 2026

ปฏิบัติการคู่ขนานจากแผงควบคุมเดียว

XG-Web คือแผงควบคุม C2 แบบสามชั้นที่เน้นเบราว์เซอร์เป็นศูนย์กลาง สร้างด้วย React ด้านหน้า, Node.js ด้านหลัง และฐานข้อมูล MySQL พร้อมการเข้ารหัสแบบผสม RSA-2048/AES-256 ผ่าน WebSocket Secure เอกสารภายในของกลุ่มไม่ได้แสร้งทำเป็นว่าเป็นการ 'ทดสอบเจาะระบบที่ได้รับอนุญาต' แต่กลับอธิบายฟังก์ชันอย่างตรงไปตรงมา เช่น 'การไฮแจ็กเบราว์เซอร์' 'การขโมยข้อมูล' 'การโจมตีแบบคนกลาง' และการแอบฟังผ่านกล้องเว็บและไมโครโฟน

ปฏิบัติการจารกรรมรัฐบาล

• การเจาะระบบโฮสติ้งของโทรคมนาคมในตะวันออกกลาง — Jewelbug แทรกสคริปต์ JavaScript ที่เป็นอันตรายลงในเทมเพลตเว็บเมลที่ใช้ร่วมกันของบริษัทโทรคมนาคมในตะวันออกกลาง ส่งผลกระทบต่อ ระบบเว็บเมลของรัฐบาลกว่า 15 หน่วยงาน พร้อมกัน สคริปต์นี้ขโมยคุกกี้เบราว์เซอร์และผลักดันอัปเดตปลอมของ Flash/Adobe เพื่อติดตั้งแบ็คดอร์ Antino, ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย และมัลแวร์ที่ฝังตัวในระบบ Linux/เราเตอร์
• เป้าหมายในเอเชียตะวันออกเฉียงใต้ — มีปฏิบัติการยืนยันแล้วที่โจมตี หน่วยข่าวกรองของกองทัพเรือ ตำรวจ และกองทัพบก ในภูมิภาค
• ผู้ผลิตอากาศยานในสหรัฐฯ — บริษัทผู้ผลิตอากาศยานสัญชาติอเมริกันรายใหญ่ที่ไม่เปิดเผยชื่อตกเป็นเป้าหมายจารกรรม

การหลอกลวงคริปโตที่ขับเคลื่อนด้วย AI

• หน้าเว็บแลกเปลี่ยนปลอม — เว็บไซต์ที่ถูกวางยาพิษ SEO โดยแอบอ้างเป็น OKX และ Binance พร้อมภาพล่อที่สร้างผ่านบริการ AI สัญชาติจีนซึ่ง ID การสร้างเนื้อหาที่ฝังอยู่นั้นเชื่อมโยงกลับไปยังบัญชีของผู้ดำเนินการ
• ส่วนขยายเบราว์เซอร์ 'PDF Viewer' ที่เป็นอันตราย — ส่วนขยาย Manifest V3 สำหรับ Chrome และ Manifest V2 สำหรับ Firefox ที่ขอสิทธิ์เข้าถึง API ส่วนขยายอันตรายเกือบทั้งหมด เปลี่ยนที่อยู่กระเป๋าเงินคริปโตอย่างเงียบ ๆ และมอบเชลล์คำสั่งระบบปฏิบัติการให้ผู้ดำเนินการผ่านตัวช่วย native-messaging (com.microsoft.runedge)
• เซิร์ฟเวอร์จัดการเนื้อหากว่า 40 เครื่อง — แฮนเดิล 'paopaodada' จับคู่กับรหัสผ่าน 525xiaoxiao ถูกนำมาใช้ซ้ำเป็นข้อมูลเข้าสู่ระบบผู้ดูแลในเซิร์ฟเวอร์ CMS จำนวน 44 เครื่อง และเป็นผู้จดทะเบียนโดเมนจำนวนมาก

ขนาดของปฏิบัติการ

ฐานข้อมูลเหยื่อที่กู้คืนได้มีบันทึก การติดต่อกลับของมัลแวร์มากกว่า 1 ล้านครั้ง, คุกกี้เบราว์เซอร์ที่ถูกขโมยมากกว่า 580,000 รายการ และ เนื้อหาอีเมลที่ถูกขโมยมากกว่า 2,300 ฉบับ ระหว่างเดือนกุมภาพันธ์ถึงพฤษภาคม 2026 ขนาดนี้สะท้อนให้เห็นว่ากลุ่มแฮกเกอร์รับจ้างขนาดเล็กสามารถดำเนินการจารกรรมและการฉ้อโกงพร้อมกันได้อย่างมีประสิทธิภาพเพียงใดโดยใช้โครงสร้างพื้นฐานร่วมกัน

การระบุตัวตน

Symantec ประเมินด้วย ความมั่นใจสูง ว่ากลุ่มหลอกลวงคริปโตนั้นดำเนินการโดย บุคคลที่ถูกระบุชื่อ — ซึ่งเป็นตัวแทนทางกฎหมายแต่เพียงผู้เดียวของบริษัทที่จดทะเบียนใน เขตฉางซา มณฑลหูหนาน ประเทศจีน (ก่อตั้งปี 2019 อธิบายว่าเป็นธุรกิจ SEO) บุคคลนี้ใช้แฮนเดิล 'paopaodada' (泡泡大大) และโฆษณาบริการ 'เช่าอันดับเว็บไซต์' บน Telegram โดยใช้ภาพแบรนด์ Binance Symantec กู้คืนเอกสารยืนยันตัวตนด้วยบัตรประจำตัวที่ออกโดยรัฐบาลจริง, ใบอนุญาตประกอบธุรกิจ และจดหมายอนุญาตแพลตฟอร์มสื่อที่มีลายเซ็นและตราประทับ

ไม่มีหลักฐานโดยตรงที่เชื่อมโยง Jewelbug กับรัฐบาลจีน แต่ Symantec ระบุว่าเป้าหมาย — กระทรวงรัฐบาล, หน่วยข่าวกรองทหาร, ผู้ผลิตอากาศยานสหรัฐฯ — ทำให้คำอธิบายอื่นเป็นไปได้ยาก ยังไม่มีการยืนยันว่าบุคคลเดียวกันนี้ดำเนินการจารกรรมหรือไม่ แต่ทั้งสองกิจกรรมใช้โครงสร้างพื้นฐานร่วมกัน โค้ดซ่อนหน้าเว็บที่ทับซ้อนกัน เส้นเวลาที่สอดคล้องกัน และแผงควบคุม XG-Web เดียวกัน Symantec ประเมินว่าเป็นไปได้มากที่สุดที่ธุรกิจ SEO เป็นผู้จัดหาการเข้าถึง การส่งมอบ และโครงสร้างพื้นฐานให้กับปฏิบัติการจารกรรม

ความปลอดภัยในการปฏิบัติการที่ไม่สม่ำเสมอ

กลุ่มทิ้งร่องรอยหลักฐานจำนวนมากเนื่องจากความปลอดภัยในการปฏิบัติการที่ไม่ดี :

• ผู้ดำเนินการทดสอบมัลแวร์ขโมยข้อมูลกับเบราว์เซอร์ของตนเองซ้ำแล้วซ้ำเล่า เก็บข้อมูลเกี่ยวกับตัวเองได้เกือบเท่ากับเหยื่อ รวมถึง:
  • รหัสผ่านแบบข้อความธรรมดาของแผงควบคุม C2 และ seed การยืนยันตัวตนสองชั้น
  • โทเค็นเซสชันของผู้ดำเนินการแบบสด และ bcrypt password hash
  • ชื่อผู้ใช้ Windows และชื่อโฮสต์ทดสอบของนักพัฒนา
  • ข้อมูลรับรองสำหรับฟอรัมแฮ็กเกอร์ภาษาจีน (t00ls.com)
• สิ่งประดิษฐ์จากการพัฒนาในโค้ดเบสมีพาธ phpStudy WAMP ภายใน (C:\phpstudy_pro\WWW\), พาธในการผลิต (/data/xg-web/backend/) และที่อยู่ LAN ของนักพัฒนาที่โค้ดของมัลแวร์แยกออกจากการจับภาพอย่างชัดเจน
• ไคลเอ็นต์ VPN ถูกติดตั้งในเครื่องที่พาธ D:\工作软件\vpn最新\ บนโฮสต์ Windows NT 10.0.26200 โดยมีบันทึกที่แสดงรูปแบบการทำงานที่เข้มข้นระหว่างเวลา 13:00–01:00 UTC+8 โดยตั้งค่าเส้นทางให้หลีกเลี่ยงจีนแผ่นดินใหญ่ — สอดคล้องกับผู้ดำเนินการที่อยู่ภายในประเทศจีนจริง
• หมายเหตุซอฟต์แวร์ที่ติดตั้งอ้างอิงถึง Clash/Shadowrocket (การเลี่ยง Great Firewall), AnyDesk/ToDesk, โปรแกรมจำลอง Android LDPlayer และ DeepSeek ข้อมูลเซสชัน Telegram Desktop เชื่อมโยงผู้ดำเนินการคนหนึ่งกับบัญชีที่ใช้โฆษณาบริการเชิงพาณิชย์ของกลุ่ม

ประเด็นสำคัญ

• Jewelbug เป็นกลุ่มแฮกเกอร์รับจ้างสัญชาติจีนที่ดำเนินการจารกรรมรัฐบาลและการหลอกลวงคริปโตจากแผงควบคุมสั่งการกลาง XG-Web เพียงระบบเดียว
• ปฏิบัติการเจาะระบบเว็บเมลของรัฐบาลมากกว่า 15 แห่งในตะวันออกกลาง เลือกเป้าหมายเป็นหน่วยทหารและตำรวจในเอเชียตะวันออกเฉียงใต้ และบริษัทผู้ผลิตอากาศยานในสหรัฐฯ
• การหลอกลวงคริปโตใช้หน้าเว็บแลกเปลี่ยนปลอมที่สร้างด้วย AI และส่วนขยายเบราว์เซอร์ที่เป็นอันตรายเพื่อขโมยที่อยู่กระเป๋าเงิน
• Symantec ระบุตัวบุคคลที่อยู่เบื้องหลังการหลอกลวงคริปโตได้ด้วยบัตรประชาชนและใบอนุญาตประกอบธุรกิจ แต่ไม่พบหลักฐานโดยตรงเชื่อมโยงกับรัฐบาลจีน
• ความปลอดภัยในการปฏิบัติการที่ไม่ดี รวมถึงการที่ผู้ดำเนินการทดสอบมัลแวร์บนเครื่องของตัวเอง ทำให้นักวิจัยมีหลักฐานมากมาย