Il gruppo hacker Jewelbug ha compromesso account webmail di 15 enti governativi in Medio Oriente, conducendo in parallelo una vasta operazione di frode su criptovalute e campagne di spionaggio contro settori strategici come difesa e telecomunicazioni.
Il gruppo hacker Jewelbug, noto anche come Earth Alux e REF7707, è responsabile di una serie di attacchi informatici che hanno colpito enti governativi e settori critici come difesa, telecomunicazioni, istruzione e aviazione. Oltre alle attività di spionaggio, il gruppo ha orchestrato una massiccia frode su criptovalute, suggerendo un possibile ruolo di hack-for-hire con finalità di profitto.
Compromissione di webmail governative
In una recente campagna, Jewelbug ha ottenuto accesso in scrittura a una piattaforma webmail condivisa da 15 enti governativi di un paese mediorientale. Gli hacker hanno inserito uno script malevolo nel template comune della webmail, che veniva eseguito sulle pagine di login e nella visualizzazione delle caselle di posta di tutti i tenant coinvolti. Lo script stabiliva una connessione WebSocket con il server di comando e controllo (C2) degli attaccanti, esfiltrando cookie e indirizzi email per identificare i domini di interesse. Gli utenti ritenuti di valore ricevevano un falso aggiornamento Adobe Flash che installava il payload principale su Windows, il backdoor Antino, insieme a strumenti per il browser.
Strumenti e tecniche di attacco
Oltre ad Antino, Jewelbug utilizza il framework XG-Web per accesso remoto e furto dati, gestendo campagne e informazioni sulle vittime. Il malware viene distribuito tramite file HTA malevoli e falsi installer Adobe. Tra i payload aggiuntivi figura un'estensione browser malevola per Chrome e Firefox, chiamata PDF Viewer, capace di rubare cookie e credenziali, intercettare traffico, iniettare JavaScript e controllare funzioni del browser da remoto.
Operazioni di spionaggio e frode su larga scala
Secondo Symantec, le infezioni Antino sono state ricondotte all'infrastruttura di Jewelbug, permettendo ai ricercatori di analizzare il pannello di gestione C2, database, log e file degli operatori. I dati raccolti mostrano un'operazione di spionaggio e frode crypto su scala industriale: oltre un milione di check-in degli impianti, 580.000 cookie rubati, migliaia di credenziali e più di 2.300 email esfiltrate.
Le attività di spionaggio hanno coinvolto organizzazioni governative e militari in Medio Oriente, Sud-Est e Sud Asia. I log dei server indicano circa 1,1 milioni di eventi di geolocalizzazione su 4.300 indirizzi IP distinti, con decine di migliaia di connessioni da reti di telecomunicazioni statali e infrastrutture ministeriali.
Infrastruttura compromessa e tecniche di diffusione
Jewelbug ha compromesso una piattaforma di hosting condivisa gestita dal provider nazionale di telecomunicazioni, ottenendo così accesso a webmail di diversi ministeri. L'iniezione di un singolo tag script ha permesso di attivare il payload JavaScript ogni volta che un utente di uno dei nove domini governativi effettuava il login, coinvolgendo oltre 15 tenant in una sola campagna.
Frode crypto e automazione AI
Le operazioni di furto di criptovalute sono supportate da articoli generati con intelligenza artificiale che indirizzano traffico verso falsi siti di exchange e da bot di click-fraud che manipolano i ranking di ricerca. Jewelbug sfrutta una pipeline automatizzata che estrae keyword, genera migliaia di pagine di download fake tramite AI e le pubblica su una flotta di 44 server e centinaia di domini simili a OKX e Binance. I bot aumentano la visibilità delle pagine fraudolente, che sfruttano anche esche come scommesse sportive, streaming pirata e finti servizi investigativi privati.
Nuove minacce e tecniche di evasione
Il gruppo utilizza anche un impianto in Rust chiamato ClientKing, mirato a server Linux, dispositivi ARM64 e router ASUS, con funzionalità di esecuzione comandi, proxy SOCKS, tunneling DNS e caricamento di moduli kernel in memoria. Per eludere i controlli, i payload offuscati vengono ospitati su Google Docs pubblici, così da confondersi con traffico legittimo verso i servizi Google.
Collegamenti con altre campagne supply-chain
Le tecniche di compromissione di infrastrutture condivise ricordano altri attacchi supply-chain, come quello che ha colpito i plugin BdThemes per WordPress, dove un attore malevolo ha modificato un feed remoto per creare account amministratore non autorizzati. Un approfondimento su questo tipo di minacce è disponibile nell'articolo sugli attacchi supply-chain ai plugin WordPress.
Attribuzione e indicatori di compromissione
Symantec attribuisce con elevata confidenza le attività finanziarie di Jewelbug a una società cinese che offre servizi SEO. Sono stati pubblicati indicatori di compromissione e un report tecnico dettagliato sugli strumenti, le tecniche e l'infrastruttura utilizzati dal gruppo.
