中国に関連するJewelbug、政府のスパイ活動と暗号資産詐欺にXG-Webを利用

中国に関連する**Jewelbug**として知られる脅威アクターが、暗号資産詐欺に従事しながら、政府や軍隊を標的としたサイバースパイ活動を行っているのが観察されました。

「両方のミッションは、単一のコントロールパネルであるXG-Webから管理されています。これはブラウザ中心のリモートアクセスおよび情報窃取フレームワークで、被害者のブラウザを完全なリモートコントロールチャネルに変え、そこからホストやその背後にある内部ネットワークへと到達します」と、BroadcomのSymantecおよびCarbon Black Threat Hunter Teamは述べました。

Jewelbugは、中東、東南アジア、南アジア全体の政府や軍隊に対するスパイ活動と、営利目的の暗号資産詐欺ビジネスという並行した活動を行う、中国を拠点とする雇われハッカー集団であると評価されています。

「このグループは、ブラウザ、Windowsエンドポイント、Linuxサーバー、ネットワークデバイスにわたる5世代のコマンド・アンド・コントロール（C&C）コードとインプラントのファミリーを開発しており、それらすべてが単一の被害者データベースに集約されています」とBroadcomは付け加えました。「そのツールセットは、外国の政府や軍隊に対するスパイ攻撃と、中国語圏の被害者を標的とした営利目的の暗号資産詐欺という2つのミッションに役立てられています」

オペレーターの少なくとも1人は、湖南省に拠点を置く登録企業に関連していると言われています。Jewelbugは、CL-STA-0049（Palo Alto Networks Unit 42）、Earth Alux（Trend Micro）、REF7707（Elastic Security Labs）として分類されている脅威クラスターと重複しています。2025年10月、このハッキンググループは、セキュリティツールの正常な機能を妨害できるマルウェアを配信するために、ロシアのITサービスプロバイダーを標的とした5ヶ月間にわたる侵入に関与したとされました。

Symantecは、数ヶ月にわたる調査の結果、キャンペーンリストを発掘したと述べました。そのリストには、中東や東南アジアの政府機関を標的としたスパイキャンペーンや、南アジアの90以上の警察および政府のメールアドレスが含まれていました。

「このグループの独立したLinuxおよびルーター用インプラントにより、ネットワークインフラへのリーチを拡大することが可能になっており、いくつかのビルドは、米国の主要な航空宇宙・産業メーカーの内部コーポレートプロキシを介してビーコンを送信するように設定されています」と指摘しています。

それと並行して、この脅威アクターは、偽の取引所ダウンロードポータルを使用して、中国語圏の暗号資産ユーザーを標的とした金銭目的の活動を行ったと言われています。台湾の政府機関を装ったおとり文書の存在は、標的が台湾にも及んでいる可能性を示唆しています。