Jewelbug: Як китайські хакери-за-наймом поєднали державне шпигунство та криптошахрайство в одній інфраструктурі

У серпні 2026 року команда Symantec Threat Hunter опублікувала детальне досьє, яке розкриває, що Jewelbug (також відомий як Earth Alux, REF7707, CL-STA-0049) — це китайська група хакерів-за-наймом, яка вела паралельні операції з державного шпигунства та криптошахрайства на базі ШІ з єдиної централізованої панелі управління під назвою XG-Web . Розслідування виявило масштабну операцію, яка зафіксувала понад один мільйон перевірок імплантів, понад 580 000 вкрадених файлів cookie браузерів та понад 2 300 викрадених листів між лютим і травнем 2026 року .

Дві місії з однієї платформи

XG-Web — це трирівнева панель управління, орієнтована на браузер, створена з використанням React на фронтенді, Node.js на бекенді та бази даних MySQL. Вона використовує гібридне шифрування RSA-2048/AES-256 через захищений канал WebSocket. Внутрішня документація групи відкидає будь-які претензії на «санкціоноване тестування на проникнення» та описує функції простими словами: «викрадення браузера», «крадіжка даних», «атака людина-посередині» та тихе прослуховування через вебкамеру/мікрофон .

Державний кібершпигунство

• Злом спільного хостингу телекомунікаційної компанії на Близькому Сході — Jewelbug впровадив шкідливий JavaScript-код у спільний шаблон вебпошти, який обслуговувався державним телекомунікаційним провайдером Близького Сходу. Це дозволило одночасно атакувати понад 15 державних вебпоштових клієнтів . Скрипт викрадав файли cookie браузера та імітував оновлення Flash/Adobe, розгортаючи бекдор Antino, шкідливі розширення браузера та імпланти для Linux/роутерів .
• Цілі в Південно-Східній Азії — Підтверджені кампанії проти військово-морських сил, поліції та військової розвідки в регіоні .
• Американський аерокосмічний виробник — Серед цілей шпигунства була велика неназвана американська аерокосмічна компанія .

Криптошахрайство на основі ШІ

• Підроблені сторінки бірж — Сайти, оптимізовані для пошукових систем, які імітували OKX та Binance. Зображення для приманки генерувалися за допомогою китайського сервісу ШІ для зображень, вбудований ідентифікатор генерації якого вів до облікового запису оператора .
• Шкідливе розширення браузера «PDF Viewer» — Розширення для Chrome (Manifest V3) та Firefox (Manifest V2), яке запитує майже весь небезпечний API розширень, непомітно замінює адреси криптовалютних гаманців та надає операторам доступ до командного рядка ОС через допоміжний інструмент native-messaging (com.microsoft.runedge) .
• Понад 40 серверів управління контентом — Псевдонім «paopaodada» у поєднанні з паролем 525xiaoxiao використовувався як адміністративний логін на 44 серверах CMS та як реєстрант масових доменів .

Масштаб операції

Відновлена база даних жертв групи зафіксувала понад один мільйон перевірок імплантів, понад 580 000 вкрадених файлів cookie та понад 2 300 викрадених листів за період з лютого по травень 2026 року . Цей масштаб демонструє, наскільки ефективно невелика команда хакерів-за-наймом може вести одночасні шпигунські та шахрайські операції, використовуючи спільну інфраструктуру.

Атрибуція

Symantec оцінює з високою впевненістю, що за криптошахрайським напрямком стоїть конкретна особа — єдиний легальний представник компанії, зареєстрованої в повіті Чанша, провінція Хунань, Китай (заснована в 2019 році, описана як SEO-бізнес). Ця особа використовувала псевдонім «paopaodada» (泡泡大大) та рекламувала послугу «оренди рейтингу вебсайтів» у Telegram на фоні зображення Binance. Symantec відновив документи, що підтверджують особу оператора (державне посвідчення особи), бізнес-ліцензію та підписаний і завірений лист авторизації медіа-платформи .

Прямих доказів зв'язку Jewelbug з китайською державою не знайдено, але Symantec зазначає, що цілі — урядові міністерства, військова розвідка, американський аерокосмічний виробник — роблять інші пояснення малоймовірними . Чи керувала ця особа шпигунськими операціями, не встановлено, але обидві діяльності використовували одну інфраструктуру, перекриваючийся код для маскування сторінок, узгоджену часову шкалу та ту саму панель XG-Web. Symantec вважає найбільш імовірним, що SEO-бізнес забезпечував доступ, доставку та інфраструктуру для шпигунських операцій .

Нерівномірна операційна безпека

Група залишила значний слід доказів через погану операційну безпеку (opsec) :

• Оператори неодноразово тестували свій стилер на власних браузерах, збираючи майже стільки ж даних про себе, скільки і про жертв, включаючи:
  • Пароль у відкритому тексті до власної панелі C2 та сід для 2FA
  • Токени сесій операторів у реальному часі та хеші паролів bcrypt
  • Ім'я користувача Windows і тестове ім'я хосту розробника
  • Облікові дані для китайськомовного хакерського форуму (t00ls.com)
• Артефакти розробки в коді включали локальний шлях phpStudy WAMP (C:\phpstudy_pro\WWW\), виробничий шлях (/data/xg-web/backend/) та LAN-адресу розробника, яку код самого імпланту явно виключав із захоплення.
• VPN-клієнт був встановлений локально за адресою D:\工作软件\vpn最新\ на хості Windows NT 10.0.26200, а логи показали робочий графік, зосереджений між 13:00 та 01:00 UTC+8, з налаштуванням маршрутизації, що обходить материковий Китай — що відповідає оператору, який фізично знаходиться всередині Китаю.
• Нотатки про встановлене програмне забезпечення посилалися на Clash/Shadowrocket (для обходу «Великого китайського фаєрвола»), AnyDesk/ToDesk, емулятор Android LDPlayer та DeepSeek. Дані сесії Telegram Desktop пов'язали одного оператора з обліковим записом, який використовувався для реклами комерційних послуг групи.

Ключові висновки

• Jewelbug — це китайська група хакерів-за-наймом, яка вела державне шпигунство та криптошахрайство з єдиної панелі управління під назвою XG-Web.
• Операція скомпрометувала понад 15 державних вебпоштових клієнтів на Близькому Сході, націлилась на військові та поліцейські органи Південно-Східної Азії та зачепила американського аерокосмічного виробника.
• Криптошахрайство використовувало підроблені сторінки бірж, згенеровані ШІ, та шкідливе розширення браузера для крадіжки адрес гаманців.
• Symantec ідентифікував особу, яка стоїть за криптошахрайством, за допомогою державного посвідчення та бізнес-ліцензії, але не знайшов прямих доказів зв'язку з китайською державою.
• Погана операційна безпека — включаючи тестування шкідливого ПЗ на власних машинах — надала дослідникам величезну кількість доказів.