中国のハッカー、二重の作戦を展開：スパイ活動と暗号資産詐欺

研究者らによると、多才な中国のハッキンググループが、外国政府と中国語を話す被害者の両方を標的にしていることが判明した。昼間はスパイ活動、副業で暗号資産詐欺ビジネスを行っている。

参照: Open-Weight Model Antaresがより強力なコードセキュリティを実現

JewelbugまたはEarth Aluxとして追跡されている脅威アクターは、AsiaおよびMiddle Eastの政府や軍隊に対して攻撃を行う一方で、単一の被害者データベースを持つ同じコントロールパネルから営利目的の暗号資産窃盗を行っていると、脅威インテリジェンス企業のSymantecが述べた。

この研究のプリンシパル・インテリジェンス・アナリストであるDick O'Brien氏は、中国のサイバーエコシステムでは雇われハッカーは非常に一般的であるとISMGに語った。「多くの国家はすべてを内部で完結させることを好むが、中国はサイバー空間において、その能力を請負業者で補う必要があるほどの規模で活動しているようだ」と同氏は述べた（中国のデータ漏洩によりSalt Typhoonの請負業者が明らかにを参照）。

このグループの商業部門は、中国の内陸部にあるHunan省の登録企業と結びついている。その企業は「検索順位のレンタル」プロバイダーとして登録されており、Telegramでもそのように宣伝されている。Symantecによると、実際にはそれは人工知能ツールを使用してフィッシングページを生成する検索エンジン最適化（SEO）ポイズニングのパイプラインであるという。

Symantecによると、オペレーターはAIを使用して暗号資産取引プラットフォームになりすました数千の偽のダウンロードページを生成しており、40以上のコンテンツ管理サーバーと検索順位を上げるためのクリック詐欺ボットによって支えられている。また、この脅威アクターは、主要な取引プラットフォームであるOKXやBinanceに似たドメインを数千件登録し、ウェブサイトのクローラーにはフィッシングコンテンツが見える一方で、通常の訪問者は別の場所にリダイレクトされるようにクローキング（隠蔽）していた。

Symantecは、高い信頼性を持って、この暗号資産詐欺とSEOスキームを、Telegramで「paopaodada」（Bubble Boss）というハンドル名を使用している同社の法定代理人と結びつけている。「一人の人物が両方の役割を果たしているというよりは、SEOビジネスがスパイ活動に対してアクセス、インフラ、配信を提供していた可能性が高い」とSymantecは述べている。