El grupo chino "Jewelbug" lleva a cabo operaciones duales de espionaje contra gobiernos y militares (especialmente en Medio Oriente y Asia) y fraudes de criptomonedas a gran escala. Utilizan scripts maliciosos en correos web, falsas actualizaciones de Adobe y extensiones de navegador para robar credenciales y datos sensibles. Para sus estafas financieras, emplean IA y bots de SEO para atraer víctimas a sitios falsos de intercambio de criptomonedas.





El grupo Jewelbug ha estado llevando a cabo operaciones de espionaje dirigidas a gobiernos y militares, al tiempo que participa en fraudes de criptomonedas.

Aunque el actor de amenazas se ha dirigido a agencias gubernamentales y organizaciones en sectores críticos, incluyendo defensa, telecomunicaciones, educación y aviación, su actividad relacionada con las criptomonedas sugiere que también podrían operar como un grupo de hackers a sueldo que busca lucrarse con el cibercrimen.

En una operación reciente, Jewelbug (también conocido como Earth Alux y REF7707) comprometió cuentas de webmail pertenecientes a 15 inquilinos gubernamentales como parte de una campaña dirigida a un país de Oriente Medio.

Investigadores de Symantec descubrieron que la campaña de espionaje y el fraude de criptomonedas se llevaron a cabo desde el mismo panel de control.

El grupo de hackers con base en China obtuvo acceso de escritura a la instalación de webmail compartida e insertó un script malicioso en su plantilla común. El script se ejecutó entonces en las páginas de inicio de sesión y en las vistas de los buzones de los 15 inquilinos.



La cadena de ataque de webmail
Fuente: Symantec

Tras la ejecución, el script estableció una conexión WebSocket con el servidor de comando y control (C2) del atacante, exfiltró cookies de webmail y recuperó la dirección de correo electrónico del usuario para determinar si pertenecía a un dominio gubernamental objetivo.

Los objetivos valiosos recibirían un aviso falso de actualización de Adobe Flash, que instala la carga útil principal en Windows, el backdoor Antino y herramientas de navegador.

Además de Antino, el actor de amenazas también utiliza el marco de trabajo de acceso remoto y robo de datos XG-Web para gestionar las campañas y la información de las víctimas.

El panel XG-Web
Fuente: Symantec

Según Symantec, Jewelbug entrega Antino a través de archivos HTA maliciosos e instaladores falsos de Adobe Flash/Adobe, y luego lo utiliza para desplegar cargas útiles adicionales.

Una de las cargas útiles es una extensión de navegador maliciosa para Chrome y Firefox, llamada PDF Viewer, que roba cookies y credenciales, intercepta el tráfico, inyecta JavaScript y expone remotamente las funciones del navegador.

Las capacidades de PDF Viewer
Fuente: Symantec

Symantec rastreó las infecciones de Antino hasta la infraestructura de Jewelbug y luego obtuvo visibilidad de la plataforma de gestión de C2 del grupo, la base de datos, los registros del servidor, el código fuente y los archivos del operador.

Los datos mostraron que los hackers dirigieron una operación de espionaje a gran escala y un "negocio de fraude de criptomonedas a escala industrial".

“La base de datos de víctimas de Jewelbug contiene más de un millón de filas de registro de implantes, más de 580,000 cookies de navegador robadas, varios miles de credenciales capturadas y más de 2,300 cuerpos de correo electrónico exfiltrados”, señalan los investigadores de Symantec.

En cuanto a la parte del espionaje, Jewelbug se dirigió a organizaciones gubernamentales y militares en Oriente Medio, el Sudeste Asiático y el Sur de Asia.

“Los registros del servidor de tiempo de ejecución registraron aproximadamente 1.1 millones de eventos de geolocalización contra aproximadamente 4,300 direcciones IP de origen distintas: aproximadamente 87,200 conexiones desde un país del Sudeste Asiático (dirigidas a redes militares y de telecomunicaciones estatales), aproximadamente 53,100 desde un país de Oriente Medio (a través de los rangos del operador nacional, incluyendo direcciones conectadas a Starlink en la capital), y aproximadamente 15,000 desde un segundo país del Sudeste Asiático (incluida la infraestructura del ministerio gubernamental)”, afirma Symantec [https://www.security.com/threat-intelligence/jewelbug-crypto-fraud-espionage].

Los investigadores explicaron que el actor de amenazas obtuvo acceso de escritura a la instalación de webmail utilizada por múltiples ministerios y agencias gubernamentales tras comprometer una plataforma de alojamiento web compartida operada por el proveedor de telecomunicaciones estatal y la agencia de servicios nacionales.

Al inyectar una sola etiqueta de script, el actor de amenazas aseguró que la carga útil de JavaScript abriera un WebSocket al C2 cada vez que un usuario de uno de los nueve dominios gubernamentales iniciara sesión.

"Una sola campaña abarcó más de 15 inquilinos de webmail gubernamentales, con el gancho disparándose en la página de inicio de sesión y en cada vista de buzón", dice Symantec.

Las operaciones de robo de criptomonedas están respaldadas por artículos generados por IA que dirigen el tráfico a sitios falsos de intercambio de criptomonedas y bots de fraude de clics que manipulan las clasificaciones de búsqueda.

Operaciones paralelas de Jewelbug
Fuente: Symantec

Según los investigadores, el actor de amenazas confía en una canalización de ataque automatizada que extrae palabras clave, genera miles de páginas de descarga falsas utilizando IA y las publica "a través de una flota de gestión de contenidos de 44 servidores y cientos de dominios similares" que suplantan a OKX y Binance. Utilizando bots de clics, Jewelbug manipula las clasificaciones para promocionar sus páginas fraudulentas.

El fraude utiliza otros señuelos también: apuestas deportivas, portales de transmisión en vivo piratas y estafas de detectives privados.

Los investigadores de Symantec tienen una alta confianza en atribuir las actividades motivadas financieramente de Jewelbug a una empresa china que anuncia servicios de SEO.

Jewelbug también utiliza un implante basado en Rust llamado ‘ClientKing’ que se dirige a servidores Linux, dispositivos ARM64 y routers ASUS, y soporta la ejecución de comandos, proxy SOCKS, tunelización DNS y carga de módulos del kernel en memoria.

Los hackers utilizaron Google Docs públicos para alojar cargas útiles ofuscadas recuperadas y ejecutadas por sus implantes, ayudando a que el tráfico malicioso se mezclara con los servicios legítimos de Google.

Symantec publicó indicadores de compromiso relacionados con la actividad observada de Jewelbug, así como un informe técnico más detallado [https://sed-cms.broadcom.com/sites/default/files/2026-08/Jewelbug%20Dossier.pdf] que describe las herramientas y técnicas del actor de amenazas, su operación financiera y la infraestructura utilizada en los ataques.

Fuente:
BleepingComputer