Symantecによると、オペレーターはAIを使用して暗号資産取引プラットフォームになりすました数千の偽のダウンロードページを生成しており、40以上のコンテンツ管理サーバーと検索順位を上げるためのクリック詐欺ボットによって支えられている。また、この脅威アクターは、主要な取引プラットフォームであるOKXやBinanceに似たドメインを数千件登録し、ウェブサイトのクローラーにはフィッシングコンテンツが見える一方で、通常の訪問者は別の場所にリダイレクトされるようにクローキング（隠蔽）していた。

Symantecは、高い信頼性を持って、この暗号資産詐欺とSEOスキームを、Telegramで「paopaodada」（Bubble Boss）というハンドル名を使用している同社の法定代理人と結びつけている。「一人の人物が両方の役割を果たしているというよりは、SEOビジネスがスパイ活動に対してアクセス、インフラ、配信を提供していた可能性が高い」とSymantecは述べている。

脅威アクターの公開されたデータベースを調査したところ、3か月未満の活発な活動期間中に、1 million以上のインプラントのチェックインと580,000以上の盗まれたブラウザクッキーが確認されたとSymantecは述べた。「あるインプラントのセットは、米国の主要な航空宇宙・産業メーカーのネットワークからビーコンを発信するように設定されていた。」

スパイ活動の側面では、このグループは5世代にわたるコマンド＆コントロールコードと、ブラウザ、Windowsエンドポイント、Linuxサーバー、ネットワークデバイスを標的とするインプラントのファミリーを開発してきたとSymantecは述べた。主要なインプラントは、PDF Viewerという名前の悪意のあるChromeおよびFirefoxブラウザ拡張機能であった。

「ドキュメントリーダーになりすまし、クッキー、スクリプティング、デバッガーへのアクセス、ウェブ要求の傍受、ダウンロードの監視、すべてのサイトにわたるネイティブメッセージングなど、ブラウザが公開している実質的にすべての危険な権限を要求していた」とSymantecは述べた。

このマルウェアは、被害者のブラウザをほぼ完全に遠隔制御することを可能にし、認証情報やクッキーの窃取、新しいセッション・トークンのほぼリアルタイムでのハイジャック、任意のJavaScriptの実行、あるいは被害者に代わってChromeやFirefoxの任意の機能を呼び出すことができるとSymantecは述べた。また、Windowsのヘルパーを介してブラウザから抜け出し、システムコマンドを実行することも可能であった。

このグループが使用する別のツールは、Antinoと呼ばれるWindowsバックドアである。これは、Washingtonを拠点とするCenter for Strategic and International Studies（CSIS）が主催するイベントへの招待状になりすましたおとりを含む、地政学的な出来事をテーマにした悪意のあるHTML Applicationダウンローダーを通じて配信されてきた。Antinoはまた、偽のAdobe FlashやAdobeインストーラーを通じても配布されている。

「実行されると、AntinoはMicrosoft Graph APIをC&Cチャネルとして使用し、その通信を正規のMicrosoftクラウドサービス内に隠蔽する」とSymantecは述べた。「これはグループのキャンペーン全体で使用されている共有ツールであり、Middle Eastの感染ホストから回収され、Middle EastやSouth Asiaの被害者から公開スキャナーに提出された。そして、[CSISを模倣した]偽のアップデートのおとりが最終的にエンドポイントにインストールするホスト上のバックドアである。」

「Jewelbugの被害者データベースには、1 million以上のインプラントのチェックイン行、580,000以上の盗まれたブラウザクッキー、数千の取得された認証情報、および2,300以上の流出させたメール本文が保持されている」とSymantecは述べた。