Jewelbug：一個控制台玩晒政府間諜同加密貨幣呃錢

XG-Web係一個三層式、以瀏覽器為中心嘅C2控制台，用React做前端、Node.js做後端、MySQL做數據庫，仲用RSA-2048同AES-256混合加密經WebSocket Secure傳輸。集團內部嘅文件連「授權滲透測試」呢啲藉口都唔用，直接寫明功能係「瀏覽器騎劫」、「數據偷竊」、「中間人攻擊」，同埋靜雞雞開鏡頭同收音咪。

政府間諜活動

• 中東電訊商共享寄存入侵 — Jewelbug喺一間中東國家電訊商嘅共享電郵模板度植入惡意JavaScript，一次過影響超過15個政府電郵戶口。呢個腳本會偷Cookies，然後彈假嘅Flash/Adobe更新，部署Antino後門、惡意瀏覽器擴充功能，同Linux/路由器植入程式。
• 東南亞目標 — 已確認嘅攻擊包括針對當地海軍、警察同陸軍情報部門。
• 美國飛機製造商 — 一間大型唔出名嘅美國飛機公司都係間諜目標之一。

AI加密貨幣詐騙

• 假交易平台 — 用SEO毒害手法整嘅假網站，扮成OKX同Binance，啲呃人圖片係用中國AI影像服務生成嘅，而呢啲服務嘅內容生成ID連返去操作員嘅帳戶。
• 惡意「PDF Viewer」瀏覽器擴充功能 — 一個Manifest V3 Chrome / Manifest V2 Firefox擴充功能，幾乎申請晒所有危險嘅API權限，會靜雞雞換加密貨幣錢包地址，仲可以俾操作員透過一個原生訊息助手（com.microsoft.runedge）控制系統。
• 超過40部內容管理伺服器 — 代號「paopaodada」同密碼525xiaoxiao重複用嚟登入44部CMS伺服器同做大量域名註冊人。

規模有幾大

呢個集團嘅受害人數據庫記錄咗超過100萬次植入式惡意軟件嘅通訊記錄、超過58萬個被偷嘅瀏覽器Cookies，同埋超過2300封被盜嘅電郵內容，時間係2026年2月至5月之間。呢個規模顯示咗一個細嘅黑客僱傭集團可以點樣用共享基礎設施同時搞間諜活動同詐騙。

身份追蹤

Symantec評估有高度信心確定加密貨幣詐騙部分係由一個有名有姓嘅人營運嘅 — 佢係一間喺中國湖南省長沙縣註冊嘅公司（2019年成立，聲稱做SEO生意）嘅唯一法定代表人。呢個人用代號**「paopaodada」**（泡泡大大），喺Telegram上賣一個「網站排名租用」服務，廣告仲用咗Binance嘅圖。Symantec搵到呢個操作員嘅實名政府身份證文件、商業登記證，同埋一份簽名蓋章嘅媒體平台授權書。

冇直接證據顯示Jewelbug同中國政府有關連，但Symantec話，考慮到佢哋嘅目標 — 政府部門、軍事情報機構、美國飛機製造商 — 其他解釋似乎唔合理。至於係咪同一個人營運間諜活動，就未有定論，但兩邊活動都係用同一套基礎設施、有重疊嘅頁面隱藏程式碼、時間線吻合，仲有用同一個XG-Web控制台。Symantec認為最大可能係呢間SEO公司提供咗渠道、傳遞方式同基礎設施俾間諜活動嗰邊用。

操作安全差到離譜

呢個集團因為操作安全太差，留低咗大量證據俾研究員追蹤：

• 操作員成日用自己嘅瀏覽器測試偷資料程式，搞到自己嘅資料同受害人嘅差唔多咁詳細，包括：
  • 自己C2控制台嘅明文密碼同2FA種子
  • 即時操作員會話令牌同bcrypt密碼雜湊值
  • 開發者嘅Windows用戶名同測試主機名
  • 一個中文黑客論壇（t00ls.com）嘅登入憑證
• 開發遺留痕跡包括本地phpStudy WAMP路徑（C:\phpstudy_pro\WWW\）、生產路徑（/data/xg-web/backend/），同埋一個開發者區域網絡地址，而植入程式嘅程式碼仲特別排除咗呢個地址。
• VPN客戶端安裝喺一部Windows NT 10.0.26200主機嘅D:\工作軟件\vpn最新\，記錄顯示工作時間集中喺UTC+8嘅13:00到01:00，路由設定繞過中國內地 — 同操作員喺中國境內嘅情況一致。
• 已安裝軟件記錄提到Clash/Shadowrocket（用嚟翻牆）、AnyDesk/ToDesk、LDPlayer Android模擬器，同DeepSeek。Telegram Desktop嘅會話數據仲將一個操作員同用嚟賣服務嘅帳戶連埋一齊。

重點總結

• Jewelbug係一個中國黑客僱傭集團，用同一套叫XG-Web嘅控制台同時搞政府間諜活動同加密貨幣詐騙。
• 佢哋入侵咗中東超過15個政府電郵戶口、東南亞嘅軍事同警察機構，仲有一間美國飛機製造商。
• 加密貨幣詐騙用AI生成假交易平台同惡意瀏覽器擴充功能嚟偷錢包地址。
• Symantec透過政府身份證同商業登記確定加密貨幣詐騙部分嘅操作員身份，但冇直接證據顯示Jewelbug同中國政府有關。
• 操作安全太差，操作員成日用自己電腦測試惡意軟件，留低大量證據俾研究員追蹤。