Il gruppo Jewelbug, legato alla Cina, conduce operazioni di spionaggio informatico contro governi e militari, sfruttando la piattaforma XG-Web anche per truffe nel settore delle criptovalute. Le campagne colpiscono il Medio Oriente, il Sud-Est e il Sud Asia, con strumenti avanzati per il controllo remoto e il furto di dati.
Il gruppo di cybercriminali noto come Jewelbug, collegato alla Cina, è stato identificato come responsabile di una serie di attacchi di spionaggio informatico rivolti a governi e forze armate, parallelamente a sofisticate frodi nel settore delle criptovalute. Secondo Broadcom (Symantec e Carbon Black Threat Hunter Team), entrambe le attività sono gestite tramite un unico pannello di controllo, XG-Web, una piattaforma browser-centrica che trasforma il browser della vittima in un canale di controllo remoto, consentendo l'accesso sia al dispositivo sia alla rete interna.
Due missioni, un'unica infrastruttura
Jewelbug opera come gruppo di hacker mercenari con base in Cina, conducendo campagne di spionaggio contro governi e militari in Medio Oriente, Sud-Est e Sud Asia, e parallelamente gestendo una redditizia attività di frode crypto rivolta a utenti di lingua cinese. Il gruppo ha sviluppato cinque generazioni di codice di comando e controllo (C&C) e una famiglia di impianti malevoli per browser, endpoint Windows, server Linux e dispositivi di rete, tutti collegati a un unico database di vittime. Almeno uno degli operatori risulta legato a una società registrata nella provincia di Hunan.
Jewelbug presenta sovrapposizioni con altri cluster di minaccia come CL-STA-0049 (Palo Alto Networks Unit 42), Ink Dragon (Check Point), Earth Alux (Trend Micro) e REF7707 (Elastic Security Labs). Nel 2025 il gruppo è stato attribuito a un'intrusione durata cinque mesi ai danni di un fornitore IT russo, con l'obiettivo di distribuire malware in grado di interferire con strumenti di sicurezza.
Target e tecniche di attacco
Le indagini di Symantec hanno portato alla luce una lista di campagne che evidenziano attacchi di spionaggio contro enti governativi in Medio Oriente e Sud-Est asiatico, oltre a oltre 90 indirizzi email di polizia e amministrazioni in Sud Asia. Gli impianti Linux e router permettono di penetrare le infrastrutture di rete, con alcune varianti progettate per comunicare attraverso proxy interni di grandi aziende statunitensi del settore aerospaziale e industriale. Parallelamente, Jewelbug ha condotto operazioni a scopo di lucro contro utenti crypto cinesi tramite falsi portali di download di exchange. La presenza di documenti civetta che imitano enti governativi di Taiwan suggerisce un'estensione del targeting anche verso l'isola.
XG-Web: la piattaforma al centro delle operazioni
Il cuore delle attività di Jewelbug è XG-Web, una piattaforma di accesso remoto e furto informazioni costruita su React, Node.js e MySQL. Presentata come strumento di penetration testing, XG-Web verifica ogni 12 ore la propria infrastruttura C&C su VirusTotal per ruotare rapidamente i server. Utilizza Google Docs pubblici per ospitare payload offuscati, recuperati dagli impianti e codificati con chiavi casuali. I nomi host dei server C&C imitano risorse comuni come Google Fonts per eludere i controlli.
L'impianto principale è un'estensione browser malevola chiamata "PDF Viewer", compatibile con Google Chrome e Mozilla Firefox. Una volta installata, richiede permessi estesi per accedere a cookie, debugger, messaggistica nativa, eseguire script, intercettare richieste web e monitorare download su tutti i siti. L'estensione consente di eseguire JavaScript arbitrario, interagire da remoto con il browser e sottrarre credenziali tramite il monitoraggio di form di login, cookie, cronologia, segnalibri, screenshot, clipboard e traffico web. Il modulo clipboard agisce anche come clipper, sostituendo eventuali indirizzi wallet copiati con quelli degli attaccanti, anche se questa funzione non risulta attivata nelle campagne analizzate. Per uscire dal sandbox del browser, l'estensione comunica con un helper Windows registrato come host di messaggistica nativa con il nome ingannevole com.microsoft.runedge, che esegue comandi tramite l'interprete di Windows e restituisce i risultati al pannello di controllo.
Strumenti e campagne di spionaggio
Tra gli altri strumenti di Jewelbug figurano Antino, un backdoor Windows distribuito tramite downloader HTA malevoli legati ad attualità geopolitiche o falsi installer Adobe, che utilizza Microsoft Graph API per il C&C; e ClientKing, un impianto Rust per server Linux e router che sfrutta cinque canali C&C, incluso un tunnel DNS, per shell interattiva, pivoting SOCKS e caricamento di moduli kernel direttamente in memoria. Un toolkit parallelo include un rootkit kernel e un modulo di autenticazione malevolo per rubare credenziali tramite su e sudo.
La più vasta operazione di spionaggio attribuita a Jewelbug ha visto la compromissione di un provider di hosting web per iniettare codice JavaScript in una piattaforma webmail usata da diversi ministeri di un governo mediorientale. La campagna watering hole ha coinvolto 15 tenant governativi, con codice malevolo attivo su login e visualizzazione caselle, per esfiltrare cookie via WebSocket e distribuire payload successivi solo a indirizzi email governativi non ancora compromessi e su sistemi Windows, mostrando un falso aggiornamento Adobe Flash.
Le vittime che cliccano sull'aggiornamento ricevono Antino come eseguibile di secondo stadio da un dominio controllato dagli attaccanti, che installa anche l'estensione "PDF Viewer" e modifica il Registro di sistema per garantirne l'avvio automatico al prossimo riavvio del browser.
Impatto e dimensioni delle campagne
La portata delle campagne di spionaggio è significativa: oltre un milione di check-in degli impianti, più di 580.000 cookie rubati, migliaia di credenziali sottratte e almeno 2.300 email esfiltrate. I log dei server mostrano circa 1,1 milioni di eventi di geolocalizzazione da 4.300 indirizzi IP distinti, tra cui oltre 87.000 connessioni da un paese del Sud-Est asiatico (reti statali e militari), 53.000 da un paese mediorientale (inclusi indirizzi Starlink nella capitale) e 15.000 da un secondo paese del Sud-Est asiatico (infrastrutture ministeriali).
Frode crypto e SEO poisoning
Il ramo finanziario di Jewelbug opera come società cinese registrata che pubblicizza servizi SEO su Telegram, ma in realtà gestisce uno schema di SEO poisoning con pagine fake generate da AI che imitano OKX e Binance, oltre 40 server di gestione contenuti e bot di click fraud per manipolare i risultati dei motori di ricerca. Gli utenti di lingua cinese che cercano OKX o Binance finiscono su pagine esca e scaricano client desktop trojanizzati o l'estensione "PDF Viewer", subendo il furto di dati sensibili.
Questi risultati evidenziano la crescente sovrapposizione tra attori statali e gruppi cybercriminali, con Jewelbug che unisce spionaggio internazionale e frodi crypto in un'unica infrastruttura. Come sottolineato da Symantec e Carbon Black, "la combinazione di due missioni nelle stesse mani è la firma di un'entità hack-for-hire che gestisce crimini a scopo di lucro accanto all'attività di spionaggio".
