Jewelbug：APTグループがスパイ活動と暗号資産詐欺を並行して実施

主な調査結果

• Jewelbugは、中国を拠点とする雇われハッカー集団であり、中東、東南アジア、南アジアの政府や軍隊に対するスパイ活動と、営利目的の暗号資産詐欺ビジネスという、2つの活動を並行して行っています。
• 両方の任務は単一のコントロールパネルであるXG-Webから管理されています。これはブラウザ中心のリモートアクセスおよび情報窃取フレームワークで、被害者のブラウザを完全なリモートコントロールチャネルに変え、そこからホストやその背後にある内部ネットワークにまで到達します。
• オペレーターのうち少なくとも1人は、登録済みの湖南省の企業と関係があり、オペレーターが所有する政府発行の身分証明書から、唯一の法的代表者の氏名を特定しました。
• Jewelbugの主要なインプラントはAntinoバックドアです。また、「PDF Viewer」というアプリケーションを装った悪意のあるChromeおよびFirefox拡張機能を運用しており、これにMicrosoft Edgeのコンポーネントを装いオペレーターにホスト上のコマンドシェルを提供するヘルパーを組み合わせています。
• 最大規模のオペレーションでは、単一のスクリプトを植え付けることで、中東のある国の15以上の政府系ウェブメールテナントに一度に水飲み場型攻撃を仕掛けました。
• Jewelbugの被害者データベースには、3か月足らずの活動期間中に100万回以上のインプラントチェックインと、58万件以上の盗まれたブラウザクッキーが記録されていました。あるインプラントのセットは、米国の主要な航空宇宙・産業メーカーの内部プロキシを利用するように設定されていました。

概要

Symantec Threat Hunter Teamによる数か月にわたる調査により、アジアや中東の政府各省庁に侵入する一方で、裏で暗号資産詐欺ビジネスを静かに運営している中国拠点のAPTグループ、Jewelbug（別名 Earth Alux、REF7707、CL-STA-0049）の活動に関する前例のない可視性が得られました。これら2つは、たまたま名前を共有しているだけの別々の事業ではありません。私たちの調査により、これらは同じ少人数のチームによって、共有されたインフラストラクチャ上で、1つのコントロールパネルから運営されていることが明らかになりました。

Jewelbugの商業部門は、中国湖南省にある既知の登録企業と結びついています。このグループは、5世代にわたるコマンド＆コントロール（C&C）コードと、ブラウザ、Windowsエンドポイント、Linuxサーバー、ネットワークデバイスに及ぶインプラントファミリーを開発しており、それらすべてが単一の被害者データベースにデータを供給しています。そのツールセットは、外国の政府や軍隊に対するスパイ攻撃と、中国語を話す被害者を標的とした営利目的の暗号資産詐欺という、2つの任務に供されています。