Jewelbug: El grupo APT realiza espionaje y fraude cripto en paralelo

Conclusiones clave

• Jewelbug es un grupo de hackers a sueldo con sede en China que dirige operaciones paralelas: espionaje contra gobiernos y ejércitos en todo Oriente Medio, el Sudeste Asiático y el Sur de Asia, y un negocio de fraude de criptomonedas con fines de lucro.
• Ambas misiones se administran desde un único panel de control, XG-Web, un marco de acceso remoto y robo de información centrado en el navegador que convierte el navegador de una víctima en un canal de control remoto completo y llega desde allí al host y a la red interna detrás de él.
• Al menos uno de los operadores está vinculado a una empresa registrada en Hunan, y hemos identificado al único representante legal por su nombre a partir de documentos de identidad emitidos por el gobierno que pertenecen a los operadores.
• El implante principal de Jewelbug es el backdoor Antino. También opera una extensión maliciosa de Chrome y Firefox que se hace pasar por una aplicación llamada “PDF Viewer”, emparejada con un asistente disfrazado de componente de Microsoft Edge que otorgaba a los operadores una shell de comandos en el host.
• En su mayor operación, un único script plantado colocó un watering-hole en más de 15 inquilinos de correo web gubernamentales en un país de Oriente Medio a la vez.
• La base de datos de víctimas de Jewelbug registró más de un millón de registros de implantes y más de 580,000 cookies de navegador robadas en menos de tres meses de operaciones activas. Un conjunto de implantes se configuró para utilizar el proxy interno de un importante fabricante aeroespacial e industrial de EE. UU.