Jewelbug: Nhóm Hacker Trung Quốc Điều Hành Cả Gián Điệp Chính Phủ Và Lừa Đảo Tiền Điện Tử Từ Cùng Một Bảng Điều Khiển

Hai Mục Tiêu, Một Bảng Điều Khiển Duy Nhất

XG-Web là một bảng điều khiển C2 (Command & Control) ba tầng tập trung vào trình duyệt, được xây dựng với giao diện React, backend Node.js và cơ sở dữ liệu MySQL, sử dụng mã hóa kết hợp RSA-2048/AES-256 qua kết nối WebSocket Secure. Các tài liệu nội bộ của chính nhóm này đã bỏ qua vỏ bọc "kiểm tra thâm nhập được ủy quyền" và mô tả các chức năng bằng ngôn ngữ trần trụi: "chiếm đoạt trình duyệt", "đánh cắp dữ liệu", "tấn công trung gian" (man-in-the-middle) và nghe lén webcam/micro từ xa .

Các Chiến Dịch Gián Điệp Chính Phủ

• Xâm nhập dịch vụ lưu trữ chung của viễn thông Trung Đông — Jewelbug đã chèn mã JavaScript độc hại vào một mẫu webmail dùng chung do một nhà cung cấp dịch vụ viễn thông nhà nước Trung Đông vận hành, tấn công đồng thời hơn 15 cơ quan chính phủ sử dụng dịch vụ này . Mã này đánh cắp cookie trình duyệt và đẩy các bản cập nhật Flash/Adobe giả, triển khai backdoor Antino, các tiện ích mở rộng trình duyệt độc hại và các công cụ cấy ghép trên Linux/bộ định tuyến .
• Nhắm mục tiêu vào Đông Nam Á — Các chiến dịch đã được xác nhận nhắm vào các cơ quan tình báo hải quân, cảnh sát và quân đội trong khu vực .
• Nhà sản xuất hàng không vũ trụ Mỹ — Một công ty hàng không vũ trụ lớn của Mỹ (không được nêu tên) cũng nằm trong danh sách mục tiêu gián điệp .

Lừa Đảo Tiền Điện Tử được Hỗ Trợ bởi AI

• Trang web sàn giao dịch giả mạo — Các trang web được tối ưu hóa SEO mạo danh OKX và Binance, với hình ảnh quảng cáo được tạo ra thông qua một dịch vụ AI hình ảnh của Trung Quốc. Mã định danh nội dung được nhúng từ dịch vụ này đã liên kết trực tiếp đến tài khoản của người điều hành .
• Tiện ích mở rộng 'PDF Viewer' độc hại — Một tiện ích mở rộng Manifest V3 cho Chrome / Manifest V2 cho Firefox yêu cầu hầu hết các API nguy hiểm của trình duyệt, lén lút thay thế địa chỉ ví tiền điện tử và cung cấp cho người điều hành một dòng lệnh hệ điều hành thông qua một helper trung gian (native-messaging helper) (com.microsoft.runedge) .
• Hơn 40 máy chủ quản lý nội dung — Bí danh "paopaodada" cùng với mật khẩu 525xiaoxiao đã được sử dụng lại làm thông tin đăng nhập quản trị trên một loạt 44 máy chủ CMS và cũng là người đăng ký tên miền hàng loạt .

Quy Mô Hoạt Động

Cơ sở dữ liệu nạn nhân mà nhóm nghiên cứu thu hồi được ghi nhận hơn một triệu lần kết nối, hơn 580.000 cookie trình duyệt bị đánh cắp, và hơn 2.300 nội dung email bị rút trích từ tháng 2 đến tháng 5 năm 2026 . Quy mô này cho thấy một nhóm hacker đánh thuê nhỏ có thể vận hành hiệu quả các chiến dịch gián điệp và lừa đảo đồng thời như thế nào khi sử dụng chung cơ sở hạ tầng.

Xác Danh Tính Thủ Phạm

Symantec đánh giá với độ tin cậy cao rằng nhánh lừa đảo tiền điện tử được điều hành bởi một cá nhân cụ thể — người đại diện pháp lý duy nhất của một công ty đăng ký tại Huyện Trường Sa, Tỉnh Hồ Nam, Trung Quốc (thành lập năm 2019, được mô tả là một doanh nghiệp SEO). Cá nhân này sử dụng bí danh "paopaodada" (泡泡大大) và đã quảng cáo dịch vụ "cho thuê xếp hạng trang web" trên Telegram với hình ảnh mang thương hiệu Binance. Symantec đã thu hồi được các tài liệu định danh chính phủ (CMND/CCCD), giấy phép kinh doanh và thư ủy quyền nền tảng truyền thông có chữ ký và đóng dấu của người này .

Không có bằng chứng trực tiếp nào liên kết Jewelbug với nhà nước Trung Quốc, nhưng Symantec lưu ý rằng các mục tiêu — bộ chính phủ, tình báo quân sự, nhà sản xuất hàng không vũ trụ Mỹ — khiến những lời giải thích khác trở nên khó tin . Không có bằng chứng cho thấy cùng một cá nhân đó vận hành các chiến dịch gián điệp, nhưng cả hai hoạt động đều chia sẻ cùng một cơ sở hạ tầng, mã ẩn trang (cloaking code) chồng chéo, dòng thời gian tương thích và cùng một bảng điều khiển XG-Web. Symantec đánh giá khả năng cao nhất là doanh nghiệp SEO đã cung cấp quyền truy cập, phân phối và cơ sở hạ tầng cho hoạt động gián điệp .

Bảo Mật Tác Chiến Không Đồng Đều

Hoạt động bảo mật kém của nhóm đã để lại một lượng lớn bằng chứng cho các nhà điều tra :

• Các nhà điều hành đã nhiều lần tự kiểm tra công cụ đánh cắp trên chính trình duyệt của họ, thu thập lượng dữ liệu về bản thân gần như tương đương với dữ liệu của nạn nhân, bao gồm:
  • Mật khẩu bản rõ cho bảng điều khiển C2 của họ và mã seed 2FA (xác thực hai yếu tố)
  • Mã thông báo phiên (session tokens) trực tiếp của người điều hành và bcrypt password hashes
  • Tên người dùng Windows của nhà phát triển và tên máy chủ thử nghiệm
  • Thông tin đăng nhập cho một diễn đàn hacking tiếng Trung (t00ls.com)
• Các tạo tác phát triển trong mã nguồn bao gồm đường dẫn WAMP phpStudy cục bộ (C:\phpstudy_pro\WWW\), đường dẫn sản xuất (/data/xg-web/backend/), và một địa chỉ mạng LAN của nhà phát triển mà chính mã của phần mềm gián điệp đã loại trừ khỏi mục tiêu thu thập.
• VPN được cài đặt cục bộ tại D:\工作软件\vpn最新\ trên máy chủ Windows NT 10.0.26200, với nhật ký cho thấy lịch làm việc tập trung từ 13:00–01:00 UTC+8 và định tuyến mạng để vượt qua Trung Quốc đại lục — phù hợp với một người điều hành đang ở trong lãnh thổ Trung Quốc.
• Ghi chú phần mềm đã cài đặt đề cập đến Clash/Shadowrocket (công cụ vượt tường lửa), AnyDesk/ToDesk, trình giả lập Android LDPlayer và DeepSeek. Dữ liệu phiên Telegram Desktop cho thấy một người điều hành có liên quan đến tài khoản dùng để quảng cáo dịch vụ thương mại của nhóm.