Jewelbug 駭客集團曝光：同一控制面板同時執行政府間諜活動與 AI 加密貨幣詐騙

2026 年 8 月，賽門鐵克（Symantec）威脅獵人團隊發布了一份詳細報告，揭露名為 Jewelbug（亦追蹤為 Earth Alux、REF7707、CL-STA-0049）的中國駭客傭兵集團，正在從一個名為 XG-Web 的中央指揮與控制（C2）面板，同時執行 政府間諜活動 與 AI 驅動的加密貨幣詐騙 。這項調查發現了一個規模龐大的行動，在 2026 年 2 月至 5 月間，記錄了 超過 100 萬次惡意軟體回報、超過 58 萬個被竊的瀏覽器 Cookie，以及 超過 2,300 封被外洩的電子郵件內容 。

單一平台，雙重使命

XG-Web 是一個以瀏覽器為核心的三層式 C2 面板，採用 React 前端、Node.js 後端和 MySQL 資料庫，並透過 WebSocket Secure 使用混合 RSA-2048/AES-256 加密。該集團的內部文件毫不掩飾地描述了其功能，例如「瀏覽器劫持」、「資料竊取」、「中間人攻擊」以及靜默啟動攝影機和麥克風監聽 。

政府間諜行動

• 中東電信商共享主機入侵：Jewelbug 將惡意 JavaScript 注入一個由中東國家電信商營運的共享網頁郵件模板，一次影響了 超過 15 個政府郵件租戶 。此腳本會竊取瀏覽器 Cookie，並推送假的 Flash/Adobe 更新，進而部署 Antino 後門、惡意瀏覽器擴充功能以及 Linux/路由器植入程式 。
• 東南亞目標：已確認針對該地區的 海軍、警察和軍事情報單位 展開攻擊 。
• 美國航太製造商：一家未具名的美國大型航太公司也是其間諜目標之一 。

AI 驅動的加密貨幣詐騙

• 假交易所頁面：透過 SEO 惡意中毒手法，建立冒充 OKX 和幣安 的網站。其誘餌圖像由一個中國 AI 圖像服務生成，該服務內嵌的內容生成 ID 最終追溯到操作者的帳戶 。
• 惡意的「PDF Viewer」瀏覽器擴充功能：這是一個 Manifest V3 的 Chrome 和 Manifest V2 的 Firefox 擴充功能，它請求了幾乎所有高風險的擴充功能 API。它會悄悄替換瀏覽器中的加密貨幣錢包地址，並透過一個名為 com.microsoft.runedge 的原生訊息傳遞輔助程式，為操作者提供一個作業系統指令殼層 。
• 超過 40 台內容管理伺服器：代號 "paopaodada" 搭配密碼 525xiaoxiao 被重複用作 44 台 CMS 伺服器 的管理員登入資訊，以及大量域名的註冊者資訊 。

行動規模

根據賽門鐵克回收的受害者資料庫記錄，在 2026 年 2 月至 5 月間，該集團記錄了 超過 100 萬次惡意軟體回報、超過 58 萬個被竊的瀏覽器 Cookie，以及 超過 2,300 封被外洩的電子郵件。 。

歸因分析

賽門鐵克以 高度信心 評估，加密貨幣詐騙分支是由一名 被指認的個人 所操控。此人是湖南省長沙縣一家註冊公司（成立於 2019 年，業務描述為 SEO 服務）的唯一法定代表人。該人士使用代號 "paopaodada" (泡泡大大)，並在 Telegram 上以幣安品牌的圖片，推廣所謂的「網站排名租賃」服務 。

然而，目前沒有直接證據將 Jewelbug 與中國政府連結。但賽門鐵克指出，其針對政府部門、軍事情報單位和美國航太製造商的行為，讓其他解釋顯得不太可能 。目前尚無法確定同一人是否也操作了間諜活動，但兩者共享相同的基礎設施、重疊的頁面隱藏程式碼、一致的活動時間線，以及同一個 XG-Web 面板。賽門鐵克評估，最可能的情況是這家 SEO 公司為間諜行動提供了存取權限、傳遞路徑和基礎設施 。

鬆散的運作安全

該集團留下了大量證據，主要歸因於其糟糕的運作安全（opsec）：

• 操作者反覆在自己的瀏覽器上測試竊密程式，導致收集到幾乎與受害者等量的自身資料，其中包括：
  • C2 面板的明文密碼及其雙因素驗證（2FA）種子
  • 操作者當前的會話令牌和 bcrypt 密碼雜湊值
  • 開發者的 Windows 使用者名稱和測試主機名稱
  • 一個中文駭客論壇（t00ls.com）的憑證
• 程式碼中的開發痕跡包括了本機的 phpStudy WAMP 路徑（C:\phpstudy_pro\WWW\）、生產路徑（/data/xg-web/backend/），以及一個被植入程式明確排除捕捉的開發者區域網路位址。
• VPN 客戶端被安裝在 D:\工作軟體\vpn最新\ 這個路徑下，主機為 Windows NT 10.0.26200。記錄顯示工作時間集中在 UTC+8 的 13:00 到 01:00，且路由設定為繞過中國大陸——這與操作者身在中國境內的情況相符。
• 已安裝軟體的紀錄提及了 Clash/Shadowrocket（用於翻牆）、AnyDesk/ToDesk、LDPlayer Android 模擬器以及 DeepSeek。Telegram 桌面版的會話資料則將一名操作者與用於推廣該集團商業服務的帳號連結起來。