Jewelbugの暗号資産詐欺が発覚：偽取引所の背後に580,000個の盗まれたクッキー

昼間は政府機関をスパイし、夜間は偽の仮想通貨取引所を運営するハッキンググループは、まるで強盗映画の題材のようです。しかし、BroadcomのSymantec Threat Hunter Teamによる新しい調査によると、それこそがJewelbugの正体です。この中国を拠点とする傭兵ハッカー集団は、国家に関連したスパイ活動と、一般の仮想通貨ユーザーを真っ向から標的にした大規模なJewelbug crypto fraud（Jewelbug仮想通貨詐欺）活動を融合させていることで注目を集めています。

主な要点

• Jewelbugは、単一のコマンド＆コントロールパネルからスパイ活動と仮想通貨詐欺キャンペーンを並行して実行している中国を拠点とする傭兵ハッカー集団です。
• その仮想通貨スキームは、AIで生成された偽の取引所ページと、BinanceやOKXを装った数百の類似ドメインに依存しています。
• Symantecは、このグループがアジアや中東の政府、軍、電気通信組織のほか、米国の主要な産業・航空宇宙メーカーにも侵入していることを発見しました。
• 調査員は、Jewelbugの活動に関連した580,000件以上の盗まれたブラウザクッキーセットと、2,300件の流出したメール本文を特定しました。
• SymantecのDick O’Brien氏は、この詐欺ビジネスの規模は、これが国家関連の攻撃者による単なる副業をはるかに超えるものであることを示唆していると述べています。

Jewelbugの二重のサイバー活動

Jewelbugは、国家機密を盗むのと同様の慣れた手つきで仮想通貨ウォレットを空にする、傭兵組織として活動しています。Symantecの調査員は、このグループが政府のスパイ活動と仮想通貨詐欺を「ブラウザのタブを切り替えるのと同じくらい簡単に」切り替え、独自に構築された1つのコントロールパネルから両方の業務を管理していると説明しています。

政府スパイ活動

スパイ活動の面では、Jewelbugはアジアや中東の政府、軍、電気通信組織に侵入してきました。最も注目すべき活動は、中東のある政府を標的にしたもので、個別の機関を一つずつ攻撃するのではなく、同国の国営通信・ネットワークサービスプロバイダーが運営する共有ウェブホスティングプラットフォームを侵害しました。一度内部に侵入すると、攻撃者はウェブメールプラットフォームにスクリプトを仕込み、政府職員を密かに追跡システムに登録させ、ログインクッキーを盗み、マルウェアを隠した偽のAdobe Flashアップデートプロンプトを表示させました。

他のキャンペーンでは、東南アジアの海軍、警察、軍情報機関、および米国の主要な産業・航空宇宙メーカーを攻撃しました。Symantecの集計によると、このグループは数千人の個別の被害者にわたる580,000件以上の完全なブラウザクッキーセット、約2,300件の完全に流出したメール本文、および数千件の盗まれたログイン資格情報を蓄積しました。