Jewelbug: APT-Gruppe betreibt Spionage und Krypto-Betrug parallel

Haupterkenntnisse

• Jewelbug ist eine in China ansässige Hackers-for-Hire-Gruppe, die Paralleloperationen durchführt: Spionage gegen Regierungen und Militärs im Nahen Osten, in Südostasien und Südasien sowie ein gewinnorientiertes Kryptowährungs-Betrugsgeschäft.
• Beide Missionen werden über ein einziges Kontrollpanel verwaltet, XG-Web, ein browserzentriertes Framework für Fernzugriff und Informationsdiebstahl, das den Browser eines Opfers in einen vollständigen Fernsteuerungskanal verwandelt und von dort aus auf den Host und das dahinter liegende interne Netzwerk zugreift.
• Mindestens einer der Betreiber steht in Verbindung mit einem registrierten Unternehmen in Hunan, und wir haben den alleinigen gesetzlichen Vertreter namentlich anhand von staatlich ausgestellten Ausweisdokumenten der Betreiber identifiziert.
• Jewelbugs Hauptimplantat ist die Antino-Backdoor. Sie betreibt auch eine bösartige Chrome- und Firefox-Erweiterung, die sich als Anwendung namens „PDF Viewer“ ausgibt, gepaart mit einem Helfer, der als Microsoft Edge-Komponente getarnt ist und den Betreibern eine Befehlsshell auf dem Host ermöglichte.
• In ihrer größten Operation platzierte ein einzelnes Skript ein Watering-Hole auf mehr als 15 Regierungs-Webmail-Tenants in einem Land im Nahen Osten gleichzeitig.
• Die Opferdatenbank von Jewelbug verzeichnete in weniger als drei Monaten aktiver Operationen mehr als eine Million Implantat-Check-ins und mehr als 580.000 gestohlene Browser-Cookies. Ein Satz von Implantaten war so konfiguriert, dass er den internen Proxy eines großen US-amerikanischen Luftfahrt- und Industriekonzerns nutzte.