Tek Platformdan Yürütülen Çift Amaçlı Operasyonlar

XG-Web, React ön yüz, Node.js arka plan ve MySQL veritabanı ile inşa edilmiş, WebSocket Secure üzerinden hibrit RSA-2048/AES-256 şifreleme kullanan üç katmanlı, tarayıcı odaklı bir C2 panelidir. Grubun kendi iç dokümantasyonu, 'yetkili penetrasyon testi' bahanesini tamamen bir kenara bırakarak işlevleri açık bir dille tanımlamaktadır: 'tarayıcı ele geçirme', 'veri hırsızlığı', 'ortadaki adam saldırısı' ve sessiz webcam/mikrofon dinleme .

Devlet Casusluğu Kampanyaları

• Orta Doğu telekom paylaşımlı barındırma ihlali — Jewelbug, Orta Doğulu bir devlet telekomünikasyon sağlayıcısının çalıştırdığı paylaşımlı bir webmail şablonuna kötü amaçlı JavaScript enjekte ederek aynı anda 15'ten fazla devlet webmail kiracısını hedef aldı . Bu kod, tarayıcı çerezlerini çaldı ve sahte Flash/Adobe güncellemeleri göndererek Antino arka kapısını, kötü amaçlı tarayıcı eklentilerini ve Linux/yönlendirici implantlarını devreye soktu .
• Güneydoğu Asya hedeflemesi — Bölgedeki donanma, polis ve ordu istihbarat birimlerine yönelik kampanyalar doğrulandı .
• ABD'li havacılık üreticisi — Büyük, ismi açıklanmayan bir Amerikan havacılık şirketi de casusluk hedefleri arasındaydı .

Yapay Zeka Destekli Kripto Para Dolandırıcılığı

• Sahte borsa sayfaları — OKX ve Binance'i taklit eden, arama motoru optimizasyonu (SEO) ile zehirlenmiş siteler. Bu sitelerdeki kandırıcı görseller, operatörün hesabına bağlanan gömülü bir içerik oluşturma kimliğine sahip bir Çin yapay zeka görsel hizmeti aracılığıyla oluşturuldu .
• Kötü amaçlı 'PDF Görüntüleyici' tarayıcı eklentisi — Neredeyse tüm tehlikeli eklenti API'sine erişim izni isteyen bir Manifest V3 Chrome / Manifest V2 Firefox eklentisi. Sessizce kripto para cüzdan adreslerini değiştiriyor ve com.microsoft.runedge adlı bir yerel mesajlaşma yardımcısı aracılığıyla operatörlere bir işletim sistemi komut kabuğu sağlıyor .
• 40'tan fazla içerik yönetim sunucusu — 'paopaodada' kullanıcı adı ve 525xiaoxiao parolası, 44 CMS sunucusundan oluşan bir filoda yönetici girişi ve toplu alan adı kayıt sahibi olarak yeniden kullanıldı .

Operasyonun Boyutu

Grup tarafından ele geçirilen kurban veritabanı, Şubat ve Mayıs 2026 arasında bir milyondan fazla implant bağlantısı, 580.000'den fazla çalınan tarayıcı çerezi ve 2.300'den fazla ele geçirilmiş e-posta içeriği kaydetti . Bu boyut, küçük bir kiralık hacker ekibinin, paylaşılan altyapıyı kullanarak aynı anda casusluk ve dolandırıcılık operasyonlarını ne kadar etkili bir şekilde yürütebileceğini gözler önüne seriyor.

Failin Tespiti (Atıf)

Symantec, kripto para dolandırıcılığı kolunun belirli bir kişi tarafından yönetildiğini yüksek güvenle değerlendirmektedir. Bu kişi, Çin'in Hunan Eyaleti, Changsha İlçesi'nde kayıtlı (2019'da kurulmuş, SEO işi olarak tanımlanan) bir şirketin tek yasal temsilcisidir. Kişi, 'paopaodada' (泡泡大大) kullanıcı adını kullanmış ve Telegram'da bir Binance markalı görsel üzerinden 'web sitesi sıralama kiralama' hizmeti reklamı yapmıştır. Symantec, operatörün gerçek adının yer aldığı devlet tarafından verilmiş kimlik doğrulama belgelerini, bir işletme ruhsatını ve imzalı/mühürlü bir medya platformu yetkilendirme mektubunu ele geçirmiştir .

Jewelbug'u Çin devletine bağlayan doğrudan bir kanıt bulunmamakla birlikte Symantec, hedeflerin (devlet bakanlıkları, askeri istihbarat, ABD'li bir havacılık üreticisi) başka açıklamaları pek mümkün kılmadığını belirtmektedir . Aynı kişinin casusluk kampanyalarını da yürütüp yürütmediği kesin olarak bilinmemekle birlikte, her iki faaliyet de aynı altyapıyı, örtüşen sayfa gizleme kodunu, uyumlu bir zaman çizelgesini ve aynı XG-Web panelini paylaşmıştır. Symantec, SEO işinin casusluk operasyonuna erişim, dağıtım ve altyapı sağlamış olmasının en olası senaryo olduğunu değerlendirmektedir .

Zayıf Operasyonel Güvenlik

Grup, zayıf operasyonel güvenlik (opsec) nedeniyle önemli miktarda kanıt bırakmıştır :

• Operatörler, bilgi çalma yazılımlarını defalarca kendi tarayıcılarında test etmiş ve kurbanları hakkında topladıkları kadar kendileri hakkında da veri toplamışlardır. Bu veriler arasında şunlar bulunmaktadır:
  • Kendi C2 panellerinin düz metin parolası ve 2FA anahtarı
  • Canlı operatör oturum belirteçleri ve bcrypt parola hash'leri
  • Geliştiricinin Windows kullanıcı adı ve test bilgisayar adı
  • Çinli bir hacker forumu için kimlik bilgileri (t00ls.com)
• Kod tabanındaki geliştirme yapıtları, yerel phpStudy WAMP yolunu (C:\phpstudy_pro\WWW\), üretim yolunu (/data/xg-web/backend/) ve implantın kendi kodunun kasıtlı olarak toplama dışı bıraktığı bir geliştirici LAN adresini içeriyordu.
• VPN istemcisi, bir Windows NT 10.0.26200 bilgisayarında D:\工作软件\vpn最新\ yoluna kurulmuştu. Günlükler, çalışma düzeninin UTC+8 saat diliminde 13:00–01:00 arasında yoğunlaştığını ve yönlendirmenin Çin anakarasını baypas edecek şekilde ayarlandığını gösteriyordu. Bu durum, operatörün fiziksel olarak Çin içinde olduğuyla tutarlıdır.
• Yüklü yazılım notları arasında Clash/Shadowrocket (Büyük Güvenlik Duvarı'nı aşma araçları), AnyDesk/ToDesk (uzak masaüstü), LDPlayer Android emülatörü ve DeepSeek yer alıyordu. Telegram Masaüstü oturum verileri, bir operatörü grubun ticari hizmetlerinin reklamını yapmak için kullanılan hesapla ilişkilendirdi.

Öne Çıkan Noktalar

• Jewelbug, Çin merkezli, hem devlet casusluğu hem de kripto para dolandırıcılığını XG-Web adlı tek bir komuta kontrol panelinden yürüten bir kiralık hacker grubudur.
• Operasyon, Orta Doğu'da 15'ten fazla devlet webmail kiracısını tehlikeye atmış, Güneydoğu Asya'daki askeri ve polis birimlerini hedef almış ve ABD'li bir havacılık üreticisine saldırmıştır.
• Kripto para dolandırıcılığında, yapay zeka ile oluşturulmuş sahte borsa sayfaları ve kripto cüzdan adreslerini çalan kötü amaçlı bir tarayıcı eklentisi kullanılmıştır.
• Symantec, kripto dolandırıcılık kolunun arkasındaki kişiyi devlet kimliği ve işletme ruhsatı kullanarak tespit etmiş ancak Çin devletiyle doğrudan bir bağlantı bulamamıştır.
• Operatörlerin kötü amaçlı yazılımı kendi makinelerinde test etmesi gibi zayıf operasyonel güvenlik önlemleri, araştırmacılara kapsamlı kanıtlar sağlamıştır.

Tek Platformdan Yürütülen Çift Amaçlı Operasyonlar

XG-Web, React ön yüz, Node.js arka plan ve MySQL veritabanı ile inşa edilmiş, WebSocket Secure üzerinden hibrit RSA-2048/AES-256 şifreleme kullanan üç katmanlı, tarayıcı odaklı bir C2 panelidir. Grubun kendi iç dokümantasyonu, 'yetkili penetrasyon testi' bahanesini tamamen bir kenara bırakarak işlevleri açık bir dille tanımlamaktadır: 'tarayıcı ele geçirme', 'veri hırsızlığı', 'ortadaki adam saldırısı' ve sessiz webcam/mikrofon dinleme .

Devlet Casusluğu Kampanyaları

• Orta Doğu telekom paylaşımlı barındırma ihlali — Jewelbug, Orta Doğulu bir devlet telekomünikasyon sağlayıcısının çalıştırdığı paylaşımlı bir webmail şablonuna kötü amaçlı JavaScript enjekte ederek aynı anda 15'ten fazla devlet webmail kiracısını hedef aldı . Bu kod, tarayıcı çerezlerini çaldı ve sahte Flash/Adobe güncellemeleri göndererek Antino arka kapısını, kötü amaçlı tarayıcı eklentilerini ve Linux/yönlendirici implantlarını devreye soktu .
• Güneydoğu Asya hedeflemesi — Bölgedeki donanma, polis ve ordu istihbarat birimlerine yönelik kampanyalar doğrulandı .
• ABD'li havacılık üreticisi — Büyük, ismi açıklanmayan bir Amerikan havacılık şirketi de casusluk hedefleri arasındaydı .

Yapay Zeka Destekli Kripto Para Dolandırıcılığı

• Sahte borsa sayfaları — OKX ve Binance'i taklit eden, arama motoru optimizasyonu (SEO) ile zehirlenmiş siteler. Bu sitelerdeki kandırıcı görseller, operatörün hesabına bağlanan gömülü bir içerik oluşturma kimliğine sahip bir Çin yapay zeka görsel hizmeti aracılığıyla oluşturuldu .
• Kötü amaçlı 'PDF Görüntüleyici' tarayıcı eklentisi — Neredeyse tüm tehlikeli eklenti API'sine erişim izni isteyen bir Manifest V3 Chrome / Manifest V2 Firefox eklentisi. Sessizce kripto para cüzdan adreslerini değiştiriyor ve com.microsoft.runedge adlı bir yerel mesajlaşma yardımcısı aracılığıyla operatörlere bir işletim sistemi komut kabuğu sağlıyor .
• 40'tan fazla içerik yönetim sunucusu — 'paopaodada' kullanıcı adı ve 525xiaoxiao parolası, 44 CMS sunucusundan oluşan bir filoda yönetici girişi ve toplu alan adı kayıt sahibi olarak yeniden kullanıldı .

Operasyonun Boyutu

Grup tarafından ele geçirilen kurban veritabanı, Şubat ve Mayıs 2026 arasında bir milyondan fazla implant bağlantısı, 580.000'den fazla çalınan tarayıcı çerezi ve 2.300'den fazla ele geçirilmiş e-posta içeriği kaydetti . Bu boyut, küçük bir kiralık hacker ekibinin, paylaşılan altyapıyı kullanarak aynı anda casusluk ve dolandırıcılık operasyonlarını ne kadar etkili bir şekilde yürütebileceğini gözler önüne seriyor.

Failin Tespiti (Atıf)

Symantec, kripto para dolandırıcılığı kolunun belirli bir kişi tarafından yönetildiğini yüksek güvenle değerlendirmektedir. Bu kişi, Çin'in Hunan Eyaleti, Changsha İlçesi'nde kayıtlı (2019'da kurulmuş, SEO işi olarak tanımlanan) bir şirketin tek yasal temsilcisidir. Kişi, 'paopaodada' (泡泡大大) kullanıcı adını kullanmış ve Telegram'da bir Binance markalı görsel üzerinden 'web sitesi sıralama kiralama' hizmeti reklamı yapmıştır. Symantec, operatörün gerçek adının yer aldığı devlet tarafından verilmiş kimlik doğrulama belgelerini, bir işletme ruhsatını ve imzalı/mühürlü bir medya platformu yetkilendirme mektubunu ele geçirmiştir .

Jewelbug'u Çin devletine bağlayan doğrudan bir kanıt bulunmamakla birlikte Symantec, hedeflerin (devlet bakanlıkları, askeri istihbarat, ABD'li bir havacılık üreticisi) başka açıklamaları pek mümkün kılmadığını belirtmektedir . Aynı kişinin casusluk kampanyalarını da yürütüp yürütmediği kesin olarak bilinmemekle birlikte, her iki faaliyet de aynı altyapıyı, örtüşen sayfa gizleme kodunu, uyumlu bir zaman çizelgesini ve aynı XG-Web panelini paylaşmıştır. Symantec, SEO işinin casusluk operasyonuna erişim, dağıtım ve altyapı sağlamış olmasının en olası senaryo olduğunu değerlendirmektedir .

Zayıf Operasyonel Güvenlik

Grup, zayıf operasyonel güvenlik (opsec) nedeniyle önemli miktarda kanıt bırakmıştır :

• Operatörler, bilgi çalma yazılımlarını defalarca kendi tarayıcılarında test etmiş ve kurbanları hakkında topladıkları kadar kendileri hakkında da veri toplamışlardır. Bu veriler arasında şunlar bulunmaktadır:
  • Kendi C2 panellerinin düz metin parolası ve 2FA anahtarı
  • Canlı operatör oturum belirteçleri ve bcrypt parola hash'leri
  • Geliştiricinin Windows kullanıcı adı ve test bilgisayar adı
  • Çinli bir hacker forumu için kimlik bilgileri (t00ls.com)
• Kod tabanındaki geliştirme yapıtları, yerel phpStudy WAMP yolunu (C:\phpstudy_pro\WWW\), üretim yolunu (/data/xg-web/backend/) ve implantın kendi kodunun kasıtlı olarak toplama dışı bıraktığı bir geliştirici LAN adresini içeriyordu.
• VPN istemcisi, bir Windows NT 10.0.26200 bilgisayarında D:\工作软件\vpn最新\ yoluna kurulmuştu. Günlükler, çalışma düzeninin UTC+8 saat diliminde 13:00–01:00 arasında yoğunlaştığını ve yönlendirmenin Çin anakarasını baypas edecek şekilde ayarlandığını gösteriyordu. Bu durum, operatörün fiziksel olarak Çin içinde olduğuyla tutarlıdır.
• Yüklü yazılım notları arasında Clash/Shadowrocket (Büyük Güvenlik Duvarı'nı aşma araçları), AnyDesk/ToDesk (uzak masaüstü), LDPlayer Android emülatörü ve DeepSeek yer alıyordu. Telegram Masaüstü oturum verileri, bir operatörü grubun ticari hizmetlerinin reklamını yapmak için kullanılan hesapla ilişkilendirdi.

Öne Çıkan Noktalar

• Jewelbug, Çin merkezli, hem devlet casusluğu hem de kripto para dolandırıcılığını XG-Web adlı tek bir komuta kontrol panelinden yürüten bir kiralık hacker grubudur.
• Operasyon, Orta Doğu'da 15'ten fazla devlet webmail kiracısını tehlikeye atmış, Güneydoğu Asya'daki askeri ve polis birimlerini hedef almış ve ABD'li bir havacılık üreticisine saldırmıştır.
• Kripto para dolandırıcılığında, yapay zeka ile oluşturulmuş sahte borsa sayfaları ve kripto cüzdan adreslerini çalan kötü amaçlı bir tarayıcı eklentisi kullanılmıştır.
• Symantec, kripto dolandırıcılık kolunun arkasındaki kişiyi devlet kimliği ve işletme ruhsatı kullanarak tespit etmiş ancak Çin devletiyle doğrudan bir bağlantı bulamamıştır.
• Operatörlerin kötü amaçlı yazılımı kendi makinelerinde test etmesi gibi zayıf operasyonel güvenlik önlemleri, araştırmacılara kapsamlı kanıtlar sağlamıştır.