Jewelbug: Nhóm Hacker Trung Quốc Điều Hành Cả Gián Điệp Chính Phủ Và Lừa Đảo Tiền Điện Tử Từ Cùng Một Bảng Điều Khiển
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển... Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển...
Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh hưởng đến hơn 15 cơ quan chính phủ, đồng thời nhắm mục tiêu vào các cơ quan tình báo quân sự, cảnh sát và hải quân ở Đôn...
Về mặt lừa đảo, nhóm sử dụng AI để tạo các trang web giả mạo sàn giao dịch OKX và Binance, cùng một tiện ích mở rộng trình duyệt 'PDF Viewer' độc hại để lén lút đánh cắp địa chỉ ví tiền điện tử.
Cơ sở dữ liệu nạn nhân của Jewelbug ghi nhận hơn 1 triệu lần kết nối, hơn 580.000 cookie trình duyệt bị đánh cắp và hơn 2.300 nội dung email bị rút trích trong giai đoạn từ tháng 2 đến tháng 5 năm 2026.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Vào tháng 8 năm 2026, Nhóm Thợ Săn Mối Đe Dọa (Threat Hunter Team) của Symantec đã công bố một hồ sơ chi tiết tiết lộ rằng Jewelbug (còn được theo dõi với các tên Earth Alux, REF7707, CL-STA-0049) là một nhóm hacker đánh thuê có trụ sở tại Trung Quốc, vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử sử dụng AI từ một bảng điều khiển chỉ huy và kiểm soát tập trung duy nhất có tên XG-Web. Cuộc điều tra đã phát hiện ra một chiến dịch có quy mô khổng lồ, ghi nhận , , và từ tháng 2 đến tháng 5 năm 2026 .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Jewelbug: Nhóm Hacker Trung Quốc Điều Hành Cả Gián Điệp Chính Phủ Và Lừa Đảo Tiền Điện Tử Từ Cùng Một Bảng Điều Khiển" là gì?
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển...
Những điểm chính cần xác nhận đầu tiên là gì?
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển... Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh hưởng đến hơn 15 cơ quan chính phủ, đồng thời nhắm mục tiêu vào các cơ quan tình báo quân sự, cảnh sát và hải quân ở Đôn...
Tôi nên làm gì tiếp theo trong thực tế?
Về mặt lừa đảo, nhóm sử dụng AI để tạo các trang web giả mạo sàn giao dịch OKX và Binance, cùng một tiện ích mở rộng trình duyệt 'PDF Viewer' độc hại để lén lút đánh cắp địa chỉ ví tiền điện tử.
Jewelbug: Nhóm Hacker Trung Quốc Điều Hành Cả Gián Điệp Chính Phủ Và Lừa Đảo Tiền Điện Tử Từ Cùng Một Bảng Điều Khiển
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển... Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển...
Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh hưởng đến hơn 15 cơ quan chính phủ, đồng thời nhắm mục tiêu vào các cơ quan tình báo quân sự, cảnh sát và hải quân ở Đôn...
Về mặt lừa đảo, nhóm sử dụng AI để tạo các trang web giả mạo sàn giao dịch OKX và Binance, cùng một tiện ích mở rộng trình duyệt 'PDF Viewer' độc hại để lén lút đánh cắp địa chỉ ví tiền điện tử.
Cơ sở dữ liệu nạn nhân của Jewelbug ghi nhận hơn 1 triệu lần kết nối, hơn 580.000 cookie trình duyệt bị đánh cắp và hơn 2.300 nội dung email bị rút trích trong giai đoạn từ tháng 2 đến tháng 5 năm 2026.
What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-Illustration of Jewelbug's dual-purpose operations: government espionage and cryptocurrency fraud managed from a single command-and-control panel.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What did Symantec's Threat Hunter Team reveal in August 2026 about the China-linked hackers-for-hire group Jewelbug, including how its dual-. Article summary: Now I have the primary source PDF and strong coverage from multiple outlets. Let me compile the answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as
openai.com
Vào tháng 8 năm 2026, Nhóm Thợ Săn Mối Đe Dọa (Threat Hunter Team) của Symantec đã công bố một hồ sơ chi tiết tiết lộ rằng Jewelbug (còn được theo dõi với các tên Earth Alux, REF7707, CL-STA-0049) là một nhóm hacker đánh thuê có trụ sở tại Trung Quốc, vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử sử dụng AI từ một bảng điều khiển chỉ huy và kiểm soát tập trung duy nhất có tên XG-Web. Cuộc điều tra đã phát hiện ra một chiến dịch có quy mô khổng lồ, ghi nhận , , và từ tháng 2 đến tháng 5 năm 2026 .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Jewelbug: Nhóm Hacker Trung Quốc Điều Hành Cả Gián Điệp Chính Phủ Và Lừa Đảo Tiền Điện Tử Từ Cùng Một Bảng Điều Khiển" là gì?
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển...
Những điểm chính cần xác nhận đầu tiên là gì?
Symantec tiết lộ nhóm hack for hire Jewelbug (Earth Alux, REF7707) có trụ sở tại Trung Quốc vận hành song song các chiến dịch gián điệp chính phủ và lừa đảo tiền điện tử được hỗ trợ bởi AI từ cùng một bảng điều khiển... Nhóm này đã xâm nhập nền tảng webmail dùng chung của một nhà cung cấp viễn thông Trung Đông, ảnh hưởng đến hơn 15 cơ quan chính phủ, đồng thời nhắm mục tiêu vào các cơ quan tình báo quân sự, cảnh sát và hải quân ở Đôn...
Tôi nên làm gì tiếp theo trong thực tế?
Về mặt lừa đảo, nhóm sử dụng AI để tạo các trang web giả mạo sàn giao dịch OKX và Binance, cùng một tiện ích mở rộng trình duyệt 'PDF Viewer' độc hại để lén lút đánh cắp địa chỉ ví tiền điện tử.
XG-Web là một bảng điều khiển C2 (Command & Control) ba tầng tập trung vào trình duyệt, được xây dựng với giao diện React, backend Node.js và cơ sở dữ liệu MySQL, sử dụng mã hóa kết hợp RSA-2048/AES-256 qua kết nối WebSocket Secure. Các tài liệu nội bộ của chính nhóm này đã bỏ qua vỏ bọc "kiểm tra thâm nhập được ủy quyền" và mô tả các chức năng bằng ngôn ngữ trần trụi: "chiếm đoạt trình duyệt", "đánh cắp dữ liệu", "tấn công trung gian" (man-in-the-middle) và nghe lén webcam/micro từ xa .
Các Chiến Dịch Gián Điệp Chính Phủ
Xâm nhập dịch vụ lưu trữ chung của viễn thông Trung Đông — Jewelbug đã chèn mã JavaScript độc hại vào một mẫu webmail dùng chung do một nhà cung cấp dịch vụ viễn thông nhà nước Trung Đông vận hành, tấn công đồng thời hơn 15 cơ quan chính phủ sử dụng dịch vụ này . Mã này đánh cắp cookie trình duyệt và đẩy các bản cập nhật Flash/Adobe giả, triển khai backdoor Antino, các tiện ích mở rộng trình duyệt độc hại và các công cụ cấy ghép trên Linux/bộ định tuyến .
Nhắm mục tiêu vào Đông Nam Á — Các chiến dịch đã được xác nhận nhắm vào các cơ quan tình báo hải quân, cảnh sát và quân đội trong khu vực .
Nhà sản xuất hàng không vũ trụ Mỹ — Một công ty hàng không vũ trụ lớn của Mỹ (không được nêu tên) cũng nằm trong danh sách mục tiêu gián điệp .
Lừa Đảo Tiền Điện Tử được Hỗ Trợ bởi AI
Trang web sàn giao dịch giả mạo — Các trang web được tối ưu hóa SEO mạo danh OKX và Binance, với hình ảnh quảng cáo được tạo ra thông qua một dịch vụ AI hình ảnh của Trung Quốc. Mã định danh nội dung được nhúng từ dịch vụ này đã liên kết trực tiếp đến tài khoản của người điều hành .
Tiện ích mở rộng 'PDF Viewer' độc hại — Một tiện ích mở rộng Manifest V3 cho Chrome / Manifest V2 cho Firefox yêu cầu hầu hết các API nguy hiểm của trình duyệt, lén lút thay thế địa chỉ ví tiền điện tử và cung cấp cho người điều hành một dòng lệnh hệ điều hành thông qua một helper trung gian (native-messaging helper) (com.microsoft.runedge) .
Hơn 40 máy chủ quản lý nội dung — Bí danh "paopaodada" cùng với mật khẩu 525xiaoxiao đã được sử dụng lại làm thông tin đăng nhập quản trị trên một loạt 44 máy chủ CMS và cũng là người đăng ký tên miền hàng loạt .
Quy Mô Hoạt Động
Cơ sở dữ liệu nạn nhân mà nhóm nghiên cứu thu hồi được ghi nhận hơn một triệu lần kết nối, hơn 580.000 cookie trình duyệt bị đánh cắp, và hơn 2.300 nội dung email bị rút trích từ tháng 2 đến tháng 5 năm 2026 . Quy mô này cho thấy một nhóm hacker đánh thuê nhỏ có thể vận hành hiệu quả các chiến dịch gián điệp và lừa đảo đồng thời như thế nào khi sử dụng chung cơ sở hạ tầng.
Xác Danh Tính Thủ Phạm
Symantec đánh giá với độ tin cậy cao rằng nhánh lừa đảo tiền điện tử được điều hành bởi một cá nhân cụ thể — người đại diện pháp lý duy nhất của một công ty đăng ký tại Huyện Trường Sa, Tỉnh Hồ Nam, Trung Quốc (thành lập năm 2019, được mô tả là một doanh nghiệp SEO). Cá nhân này sử dụng bí danh "paopaodada" (泡泡大大) và đã quảng cáo dịch vụ "cho thuê xếp hạng trang web" trên Telegram với hình ảnh mang thương hiệu Binance. Symantec đã thu hồi được các tài liệu định danh chính phủ (CMND/CCCD), giấy phép kinh doanh và thư ủy quyền nền tảng truyền thông có chữ ký và đóng dấu của người này .
Không có bằng chứng trực tiếp nào liên kết Jewelbug với nhà nước Trung Quốc, nhưng Symantec lưu ý rằng các mục tiêu — bộ chính phủ, tình báo quân sự, nhà sản xuất hàng không vũ trụ Mỹ — khiến những lời giải thích khác trở nên khó tin . Không có bằng chứng cho thấy cùng một cá nhân đó vận hành các chiến dịch gián điệp, nhưng cả hai hoạt động đều chia sẻ cùng một cơ sở hạ tầng, mã ẩn trang (cloaking code) chồng chéo, dòng thời gian tương thích và cùng một bảng điều khiển XG-Web. Symantec đánh giá khả năng cao nhất là doanh nghiệp SEO đã cung cấp quyền truy cập, phân phối và cơ sở hạ tầng cho hoạt động gián điệp .
Bảo Mật Tác Chiến Không Đồng Đều
Hoạt động bảo mật kém của nhóm đã để lại một lượng lớn bằng chứng cho các nhà điều tra :
Các nhà điều hành đã nhiều lần tự kiểm tra công cụ đánh cắp trên chính trình duyệt của họ, thu thập lượng dữ liệu về bản thân gần như tương đương với dữ liệu của nạn nhân, bao gồm:
Mật khẩu bản rõ cho bảng điều khiển C2 của họ và mã seed 2FA (xác thực hai yếu tố)
Mã thông báo phiên (session tokens) trực tiếp của người điều hành và bcrypt password hashes
Tên người dùng Windows của nhà phát triển và tên máy chủ thử nghiệm
Thông tin đăng nhập cho một diễn đàn hacking tiếng Trung (t00ls.com)
Các tạo tác phát triển trong mã nguồn bao gồm đường dẫn WAMP phpStudy cục bộ (C:\phpstudy_pro\WWW\), đường dẫn sản xuất (/data/xg-web/backend/), và một địa chỉ mạng LAN của nhà phát triển mà chính mã của phần mềm gián điệp đã loại trừ khỏi mục tiêu thu thập.
VPN được cài đặt cục bộ tại D:\工作软件\vpn最新\ trên máy chủ Windows NT 10.0.26200, với nhật ký cho thấy lịch làm việc tập trung từ 13:00–01:00 UTC+8 và định tuyến mạng để vượt qua Trung Quốc đại lục — phù hợp với một người điều hành đang ở trong lãnh thổ Trung Quốc.
Ghi chú phần mềm đã cài đặt đề cập đến Clash/Shadowrocket (công cụ vượt tường lửa), AnyDesk/ToDesk, trình giả lập Android LDPlayer và DeepSeek. Dữ liệu phiên Telegram Desktop cho thấy một người điều hành có liên quan đến tài khoản dùng để quảng cáo dịch vụ thương mại của nhóm.
XG-Web là một bảng điều khiển C2 (Command & Control) ba tầng tập trung vào trình duyệt, được xây dựng với giao diện React, backend Node.js và cơ sở dữ liệu MySQL, sử dụng mã hóa kết hợp RSA-2048/AES-256 qua kết nối WebSocket Secure. Các tài liệu nội bộ của chính nhóm này đã bỏ qua vỏ bọc "kiểm tra thâm nhập được ủy quyền" và mô tả các chức năng bằng ngôn ngữ trần trụi: "chiếm đoạt trình duyệt", "đánh cắp dữ liệu", "tấn công trung gian" (man-in-the-middle) và nghe lén webcam/micro từ xa .
Các Chiến Dịch Gián Điệp Chính Phủ
Xâm nhập dịch vụ lưu trữ chung của viễn thông Trung Đông — Jewelbug đã chèn mã JavaScript độc hại vào một mẫu webmail dùng chung do một nhà cung cấp dịch vụ viễn thông nhà nước Trung Đông vận hành, tấn công đồng thời hơn 15 cơ quan chính phủ sử dụng dịch vụ này . Mã này đánh cắp cookie trình duyệt và đẩy các bản cập nhật Flash/Adobe giả, triển khai backdoor Antino, các tiện ích mở rộng trình duyệt độc hại và các công cụ cấy ghép trên Linux/bộ định tuyến .
Nhắm mục tiêu vào Đông Nam Á — Các chiến dịch đã được xác nhận nhắm vào các cơ quan tình báo hải quân, cảnh sát và quân đội trong khu vực .
Nhà sản xuất hàng không vũ trụ Mỹ — Một công ty hàng không vũ trụ lớn của Mỹ (không được nêu tên) cũng nằm trong danh sách mục tiêu gián điệp .
Lừa Đảo Tiền Điện Tử được Hỗ Trợ bởi AI
Trang web sàn giao dịch giả mạo — Các trang web được tối ưu hóa SEO mạo danh OKX và Binance, với hình ảnh quảng cáo được tạo ra thông qua một dịch vụ AI hình ảnh của Trung Quốc. Mã định danh nội dung được nhúng từ dịch vụ này đã liên kết trực tiếp đến tài khoản của người điều hành .
Tiện ích mở rộng 'PDF Viewer' độc hại — Một tiện ích mở rộng Manifest V3 cho Chrome / Manifest V2 cho Firefox yêu cầu hầu hết các API nguy hiểm của trình duyệt, lén lút thay thế địa chỉ ví tiền điện tử và cung cấp cho người điều hành một dòng lệnh hệ điều hành thông qua một helper trung gian (native-messaging helper) (com.microsoft.runedge) .
Hơn 40 máy chủ quản lý nội dung — Bí danh "paopaodada" cùng với mật khẩu 525xiaoxiao đã được sử dụng lại làm thông tin đăng nhập quản trị trên một loạt 44 máy chủ CMS và cũng là người đăng ký tên miền hàng loạt .
Quy Mô Hoạt Động
Cơ sở dữ liệu nạn nhân mà nhóm nghiên cứu thu hồi được ghi nhận hơn một triệu lần kết nối, hơn 580.000 cookie trình duyệt bị đánh cắp, và hơn 2.300 nội dung email bị rút trích từ tháng 2 đến tháng 5 năm 2026 . Quy mô này cho thấy một nhóm hacker đánh thuê nhỏ có thể vận hành hiệu quả các chiến dịch gián điệp và lừa đảo đồng thời như thế nào khi sử dụng chung cơ sở hạ tầng.
Xác Danh Tính Thủ Phạm
Symantec đánh giá với độ tin cậy cao rằng nhánh lừa đảo tiền điện tử được điều hành bởi một cá nhân cụ thể — người đại diện pháp lý duy nhất của một công ty đăng ký tại Huyện Trường Sa, Tỉnh Hồ Nam, Trung Quốc (thành lập năm 2019, được mô tả là một doanh nghiệp SEO). Cá nhân này sử dụng bí danh "paopaodada" (泡泡大大) và đã quảng cáo dịch vụ "cho thuê xếp hạng trang web" trên Telegram với hình ảnh mang thương hiệu Binance. Symantec đã thu hồi được các tài liệu định danh chính phủ (CMND/CCCD), giấy phép kinh doanh và thư ủy quyền nền tảng truyền thông có chữ ký và đóng dấu của người này .
Không có bằng chứng trực tiếp nào liên kết Jewelbug với nhà nước Trung Quốc, nhưng Symantec lưu ý rằng các mục tiêu — bộ chính phủ, tình báo quân sự, nhà sản xuất hàng không vũ trụ Mỹ — khiến những lời giải thích khác trở nên khó tin . Không có bằng chứng cho thấy cùng một cá nhân đó vận hành các chiến dịch gián điệp, nhưng cả hai hoạt động đều chia sẻ cùng một cơ sở hạ tầng, mã ẩn trang (cloaking code) chồng chéo, dòng thời gian tương thích và cùng một bảng điều khiển XG-Web. Symantec đánh giá khả năng cao nhất là doanh nghiệp SEO đã cung cấp quyền truy cập, phân phối và cơ sở hạ tầng cho hoạt động gián điệp .
Bảo Mật Tác Chiến Không Đồng Đều
Hoạt động bảo mật kém của nhóm đã để lại một lượng lớn bằng chứng cho các nhà điều tra :
Các nhà điều hành đã nhiều lần tự kiểm tra công cụ đánh cắp trên chính trình duyệt của họ, thu thập lượng dữ liệu về bản thân gần như tương đương với dữ liệu của nạn nhân, bao gồm:
Mật khẩu bản rõ cho bảng điều khiển C2 của họ và mã seed 2FA (xác thực hai yếu tố)
Mã thông báo phiên (session tokens) trực tiếp của người điều hành và bcrypt password hashes
Tên người dùng Windows của nhà phát triển và tên máy chủ thử nghiệm
Thông tin đăng nhập cho một diễn đàn hacking tiếng Trung (t00ls.com)
Các tạo tác phát triển trong mã nguồn bao gồm đường dẫn WAMP phpStudy cục bộ (C:\phpstudy_pro\WWW\), đường dẫn sản xuất (/data/xg-web/backend/), và một địa chỉ mạng LAN của nhà phát triển mà chính mã của phần mềm gián điệp đã loại trừ khỏi mục tiêu thu thập.
VPN được cài đặt cục bộ tại D:\工作软件\vpn最新\ trên máy chủ Windows NT 10.0.26200, với nhật ký cho thấy lịch làm việc tập trung từ 13:00–01:00 UTC+8 và định tuyến mạng để vượt qua Trung Quốc đại lục — phù hợp với một người điều hành đang ở trong lãnh thổ Trung Quốc.
Ghi chú phần mềm đã cài đặt đề cập đến Clash/Shadowrocket (công cụ vượt tường lửa), AnyDesk/ToDesk, trình giả lập Android LDPlayer và DeepSeek. Dữ liệu phiên Telegram Desktop cho thấy một người điều hành có liên quan đến tài khoản dùng để quảng cáo dịch vụ thương mại của nhóm.
