Jewelbug: Як китайські хакери-за-наймом поєднали державне шпигунство та криптошахрайство в одній інфраструктурі
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо... Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних к...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо...
Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних клієнтів), військових та поліцію в Південно Східній Азії, а також на великого американського виробника аерокосмічної техніки
Криптошахрайство включало підроблені сторінки бірж OKX та Binance, згенеровані ШІ, та шкідливе розширення браузера «PDF Viewer», яке непомітно підміняло адреси криптовалютних гаманців
База даних жертв зафіксувала понад 1 млн перевірок імплантів, більш ніж 580 000 вкрадених файлів cookie та понад 2 300 викрадених листів
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
У серпні 2026 року команда Symantec Threat Hunter опублікувала детальне досьє, яке розкриває, що Jewelbug (також відомий як Earth Alux, REF7707, CL-STA-0049) — це китайська група хакерів-за-наймом, яка вела паралельні операції з державного шпигунства та криптошахрайства на базі ШІ з єдиної централізованої панелі управління під назвою XG-Web. Розслідування виявило масштабну операцію, яка зафіксувала , та між лютим і травнем 2026 року .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Як китайські хакери-за-наймом поєднали державне шпигунство та криптошахрайство в одній інфраструктурі"?
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо...
What are the key points to validate first?
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо... Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних клієнтів), військових та поліцію в Південно Східній Азії, а також на великого американського виробника аерокосмічної техніки
What should I do next in practice?
Криптошахрайство включало підроблені сторінки бірж OKX та Binance, згенеровані ШІ, та шкідливе розширення браузера «PDF Viewer», яке непомітно підміняло адреси криптовалютних гаманців
Jewelbug: Як китайські хакери-за-наймом поєднали державне шпигунство та криптошахрайство в одній інфраструктурі
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо... Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних к...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо...
Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних клієнтів), військових та поліцію в Південно Східній Азії, а також на великого американського виробника аерокосмічної техніки
Криптошахрайство включало підроблені сторінки бірж OKX та Binance, згенеровані ШІ, та шкідливе розширення браузера «PDF Viewer», яке непомітно підміняло адреси криптовалютних гаманців
База даних жертв зафіксувала понад 1 млн перевірок імплантів, більш ніж 580 000 вкрадених файлів cookie та понад 2 300 викрадених листів
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
У серпні 2026 року команда Symantec Threat Hunter опублікувала детальне досьє, яке розкриває, що Jewelbug (також відомий як Earth Alux, REF7707, CL-STA-0049) — це китайська група хакерів-за-наймом, яка вела паралельні операції з державного шпигунства та криптошахрайства на базі ШІ з єдиної централізованої панелі управління під назвою XG-Web. Розслідування виявило масштабну операцію, яка зафіксувала , та між лютим і травнем 2026 року .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Jewelbug: Як китайські хакери-за-наймом поєднали державне шпигунство та криптошахрайство в одній інфраструктурі"?
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо...
What are the key points to validate first?
Команда Symantec Threat Hunter оприлюднила розслідування, яке показує, що китайська група хакерів Jewelbug (Earth Alux, REF7707) одночасно проводила операції з кібершпигунства та криптошахрайства на базі ШІ, використо... Шпигунські кампанії були спрямовані на урядові вебпошти на Близькому Сході (понад 15 державних клієнтів), військових та поліцію в Південно Східній Азії, а також на великого американського виробника аерокосмічної техніки
What should I do next in practice?
Криптошахрайство включало підроблені сторінки бірж OKX та Binance, згенеровані ШІ, та шкідливе розширення браузера «PDF Viewer», яке непомітно підміняло адреси криптовалютних гаманців
XG-Web — це трирівнева панель управління, орієнтована на браузер, створена з використанням React на фронтенді, Node.js на бекенді та бази даних MySQL. Вона використовує гібридне шифрування RSA-2048/AES-256 через захищений канал WebSocket. Внутрішня документація групи відкидає будь-які претензії на «санкціоноване тестування на проникнення» та описує функції простими словами: «викрадення браузера», «крадіжка даних», «атака людина-посередині» та тихе прослуховування через вебкамеру/мікрофон .
Державний кібершпигунство
Злом спільного хостингу телекомунікаційної компанії на Близькому Сході — Jewelbug впровадив шкідливий JavaScript-код у спільний шаблон вебпошти, який обслуговувався державним телекомунікаційним провайдером Близького Сходу. Це дозволило одночасно атакувати понад 15 державних вебпоштових клієнтів. Скрипт викрадав файли cookie браузера та імітував оновлення Flash/Adobe, розгортаючи бекдор Antino, шкідливі розширення браузера та імпланти для Linux/роутерів .
Цілі в Південно-Східній Азії — Підтверджені кампанії проти військово-морських сил, поліції та військової розвідки в регіоні .
Американський аерокосмічний виробник — Серед цілей шпигунства була велика неназвана американська аерокосмічна компанія .
Криптошахрайство на основі ШІ
Підроблені сторінки бірж — Сайти, оптимізовані для пошукових систем, які імітували OKX та Binance. Зображення для приманки генерувалися за допомогою китайського сервісу ШІ для зображень, вбудований ідентифікатор генерації якого вів до облікового запису оператора .
Шкідливе розширення браузера «PDF Viewer» — Розширення для Chrome (Manifest V3) та Firefox (Manifest V2), яке запитує майже весь небезпечний API розширень, непомітно замінює адреси криптовалютних гаманців та надає операторам доступ до командного рядка ОС через допоміжний інструмент native-messaging (com.microsoft.runedge) .
Понад 40 серверів управління контентом — Псевдонім «paopaodada» у поєднанні з паролем 525xiaoxiao використовувався як адміністративний логін на 44 серверах CMS та як реєстрант масових доменів .
Масштаб операції
Відновлена база даних жертв групи зафіксувала понад один мільйон перевірок імплантів, понад 580 000 вкрадених файлів cookie та понад 2 300 викрадених листів за період з лютого по травень 2026 року . Цей масштаб демонструє, наскільки ефективно невелика команда хакерів-за-наймом може вести одночасні шпигунські та шахрайські операції, використовуючи спільну інфраструктуру.
Атрибуція
Symantec оцінює з високою впевненістю, що за криптошахрайським напрямком стоїть конкретна особа — єдиний легальний представник компанії, зареєстрованої в повіті Чанша, провінція Хунань, Китай (заснована в 2019 році, описана як SEO-бізнес). Ця особа використовувала псевдонім «paopaodada» (泡泡大大) та рекламувала послугу «оренди рейтингу вебсайтів» у Telegram на фоні зображення Binance. Symantec відновив документи, що підтверджують особу оператора (державне посвідчення особи), бізнес-ліцензію та підписаний і завірений лист авторизації медіа-платформи .
Прямих доказів зв'язку Jewelbug з китайською державою не знайдено, але Symantec зазначає, що цілі — урядові міністерства, військова розвідка, американський аерокосмічний виробник — роблять інші пояснення малоймовірними . Чи керувала ця особа шпигунськими операціями, не встановлено, але обидві діяльності використовували одну інфраструктуру, перекриваючийся код для маскування сторінок, узгоджену часову шкалу та ту саму панель XG-Web. Symantec вважає найбільш імовірним, що SEO-бізнес забезпечував доступ, доставку та інфраструктуру для шпигунських операцій .
Нерівномірна операційна безпека
Група залишила значний слід доказів через погану операційну безпеку (opsec) :
Оператори неодноразово тестували свій стилер на власних браузерах, збираючи майже стільки ж даних про себе, скільки і про жертв, включаючи:
Пароль у відкритому тексті до власної панелі C2 та сід для 2FA
Токени сесій операторів у реальному часі та хеші паролів bcrypt
Ім'я користувача Windows і тестове ім'я хосту розробника
Облікові дані для китайськомовного хакерського форуму (t00ls.com)
Артефакти розробки в коді включали локальний шлях phpStudy WAMP (C:\phpstudy_pro\WWW\), виробничий шлях (/data/xg-web/backend/) та LAN-адресу розробника, яку код самого імпланту явно виключав із захоплення.
VPN-клієнт був встановлений локально за адресою D:\工作软件\vpn最新\ на хості Windows NT 10.0.26200, а логи показали робочий графік, зосереджений між 13:00 та 01:00 UTC+8, з налаштуванням маршрутизації, що обходить материковий Китай — що відповідає оператору, який фізично знаходиться всередині Китаю.
Нотатки про встановлене програмне забезпечення посилалися на Clash/Shadowrocket (для обходу «Великого китайського фаєрвола»), AnyDesk/ToDesk, емулятор Android LDPlayer та DeepSeek. Дані сесії Telegram Desktop пов'язали одного оператора з обліковим записом, який використовувався для реклами комерційних послуг групи.
Ключові висновки
Jewelbug — це китайська група хакерів-за-наймом, яка вела державне шпигунство та криптошахрайство з єдиної панелі управління під назвою XG-Web.
Операція скомпрометувала понад 15 державних вебпоштових клієнтів на Близькому Сході, націлилась на військові та поліцейські органи Південно-Східної Азії та зачепила американського аерокосмічного виробника.
Криптошахрайство використовувало підроблені сторінки бірж, згенеровані ШІ, та шкідливе розширення браузера для крадіжки адрес гаманців.
Symantec ідентифікував особу, яка стоїть за криптошахрайством, за допомогою державного посвідчення та бізнес-ліцензії, але не знайшов прямих доказів зв'язку з китайською державою.
Погана операційна безпека — включаючи тестування шкідливого ПЗ на власних машинах — надала дослідникам величезну кількість доказів.
XG-Web — це трирівнева панель управління, орієнтована на браузер, створена з використанням React на фронтенді, Node.js на бекенді та бази даних MySQL. Вона використовує гібридне шифрування RSA-2048/AES-256 через захищений канал WebSocket. Внутрішня документація групи відкидає будь-які претензії на «санкціоноване тестування на проникнення» та описує функції простими словами: «викрадення браузера», «крадіжка даних», «атака людина-посередині» та тихе прослуховування через вебкамеру/мікрофон .
Державний кібершпигунство
Злом спільного хостингу телекомунікаційної компанії на Близькому Сході — Jewelbug впровадив шкідливий JavaScript-код у спільний шаблон вебпошти, який обслуговувався державним телекомунікаційним провайдером Близького Сходу. Це дозволило одночасно атакувати понад 15 державних вебпоштових клієнтів. Скрипт викрадав файли cookie браузера та імітував оновлення Flash/Adobe, розгортаючи бекдор Antino, шкідливі розширення браузера та імпланти для Linux/роутерів .
Цілі в Південно-Східній Азії — Підтверджені кампанії проти військово-морських сил, поліції та військової розвідки в регіоні .
Американський аерокосмічний виробник — Серед цілей шпигунства була велика неназвана американська аерокосмічна компанія .
Криптошахрайство на основі ШІ
Підроблені сторінки бірж — Сайти, оптимізовані для пошукових систем, які імітували OKX та Binance. Зображення для приманки генерувалися за допомогою китайського сервісу ШІ для зображень, вбудований ідентифікатор генерації якого вів до облікового запису оператора .
Шкідливе розширення браузера «PDF Viewer» — Розширення для Chrome (Manifest V3) та Firefox (Manifest V2), яке запитує майже весь небезпечний API розширень, непомітно замінює адреси криптовалютних гаманців та надає операторам доступ до командного рядка ОС через допоміжний інструмент native-messaging (com.microsoft.runedge) .
Понад 40 серверів управління контентом — Псевдонім «paopaodada» у поєднанні з паролем 525xiaoxiao використовувався як адміністративний логін на 44 серверах CMS та як реєстрант масових доменів .
Масштаб операції
Відновлена база даних жертв групи зафіксувала понад один мільйон перевірок імплантів, понад 580 000 вкрадених файлів cookie та понад 2 300 викрадених листів за період з лютого по травень 2026 року . Цей масштаб демонструє, наскільки ефективно невелика команда хакерів-за-наймом може вести одночасні шпигунські та шахрайські операції, використовуючи спільну інфраструктуру.
Атрибуція
Symantec оцінює з високою впевненістю, що за криптошахрайським напрямком стоїть конкретна особа — єдиний легальний представник компанії, зареєстрованої в повіті Чанша, провінція Хунань, Китай (заснована в 2019 році, описана як SEO-бізнес). Ця особа використовувала псевдонім «paopaodada» (泡泡大大) та рекламувала послугу «оренди рейтингу вебсайтів» у Telegram на фоні зображення Binance. Symantec відновив документи, що підтверджують особу оператора (державне посвідчення особи), бізнес-ліцензію та підписаний і завірений лист авторизації медіа-платформи .
Прямих доказів зв'язку Jewelbug з китайською державою не знайдено, але Symantec зазначає, що цілі — урядові міністерства, військова розвідка, американський аерокосмічний виробник — роблять інші пояснення малоймовірними . Чи керувала ця особа шпигунськими операціями, не встановлено, але обидві діяльності використовували одну інфраструктуру, перекриваючийся код для маскування сторінок, узгоджену часову шкалу та ту саму панель XG-Web. Symantec вважає найбільш імовірним, що SEO-бізнес забезпечував доступ, доставку та інфраструктуру для шпигунських операцій .
Нерівномірна операційна безпека
Група залишила значний слід доказів через погану операційну безпеку (opsec) :
Оператори неодноразово тестували свій стилер на власних браузерах, збираючи майже стільки ж даних про себе, скільки і про жертв, включаючи:
Пароль у відкритому тексті до власної панелі C2 та сід для 2FA
Токени сесій операторів у реальному часі та хеші паролів bcrypt
Ім'я користувача Windows і тестове ім'я хосту розробника
Облікові дані для китайськомовного хакерського форуму (t00ls.com)
Артефакти розробки в коді включали локальний шлях phpStudy WAMP (C:\phpstudy_pro\WWW\), виробничий шлях (/data/xg-web/backend/) та LAN-адресу розробника, яку код самого імпланту явно виключав із захоплення.
VPN-клієнт був встановлений локально за адресою D:\工作软件\vpn最新\ на хості Windows NT 10.0.26200, а логи показали робочий графік, зосереджений між 13:00 та 01:00 UTC+8, з налаштуванням маршрутизації, що обходить материковий Китай — що відповідає оператору, який фізично знаходиться всередині Китаю.
Нотатки про встановлене програмне забезпечення посилалися на Clash/Shadowrocket (для обходу «Великого китайського фаєрвола»), AnyDesk/ToDesk, емулятор Android LDPlayer та DeepSeek. Дані сесії Telegram Desktop пов'язали одного оператора з обліковим записом, який використовувався для реклами комерційних послуг групи.
Ключові висновки
Jewelbug — це китайська група хакерів-за-наймом, яка вела державне шпигунство та криптошахрайство з єдиної панелі управління під назвою XG-Web.
Операція скомпрометувала понад 15 державних вебпоштових клієнтів на Близькому Сході, націлилась на військові та поліцейські органи Південно-Східної Азії та зачепила американського аерокосмічного виробника.
Криптошахрайство використовувало підроблені сторінки бірж, згенеровані ШІ, та шкідливе розширення браузера для крадіжки адрес гаманців.
Symantec ідентифікував особу, яка стоїть за криптошахрайством, за допомогою державного посвідчення та бізнес-ліцензії, але не знайшов прямих доказів зв'язку з китайською державою.
Погана операційна безпека — включаючи тестування шкідливого ПЗ на власних машинах — надала дослідникам величезну кількість доказів.
