Im Zentrum der von Symantec beschriebenen Infrastruktur steht die Plattform „XG-Web“. Sie dient den Angreifern dazu, neue Schadsoftware zu erzeugen, gestohlene Browser-Daten zu verwalten und einzelne Infektionen zu überwachen. Nach Darstellung der Forscher ist das System mit rollenbasierter Zugriffskontrolle aufgebaut: Es gibt Superadmins, Admins und normale Nutzer, wobei niedrigere Operatoren nur die von ihnen kompromittierten Opfer sehen können. Symantec charakterisiert Jewelbug als kleines Team.
Für seine Kampagnen setzt die Gruppe laut Symantec vor allem drei maßgeschneiderte Schadprogramme ein. Dazu gehören die Windows-Backdoor „Antino“ und die Linux-Backdoor „ClientKing“, die vor allem in Spionageangriffen beobachtet wurden. Besonders hervor hebt Symantec jedoch eine Browser-Erweiterung namens „PDF Viewer“. Statt PDF-Anzeige zu bieten, fordert sie weitreichende Berechtigungen an und stiehlt Cookies, Sitzungstoken, den Browserverlauf, Bildschirmaufnahmen und Netzwerkverkehr.
Die Erweiterung kann nach Angaben von Symantec zudem aus der Browser-Sandbox ausbrechen, beliebiges JavaScript auf beliebigen Webseiten einschleusen und den Browser des Opfers so bedienen, als säße der Angreifer selbst davor. Eine weitere Funktion erlaubt es, bei Kryptowährungstransaktionen unbemerkt die Zieladresse eines Opfers durch die Wallet-Adresse der Angreifer zu ersetzen, auch wenn diese Funktion bislang nicht eingesetzt worden sein soll.
Wenn Jewelbug keine ausländischen Regierungsziele ausspäht, nutzt die Gruppe laut Symantec künstliche Intelligenz, um Tausende Phishing-Webseiten zu Kryptowährungen, Sport, Wetten und anderen Themen zu erzeugen. Diese Seiten werden über 44 Content-Management-Server verwaltet. Um ihre Platzierung in Suchmaschinen zu verbessern, setzen die Angreifer Click-Fraud-Bots ein. Zusätzlich filtert ein PHP-Schnipsel Webcrawler aus: Diese erhalten harmlose Köderinhalte, während vorgesehene Opfer mit Malware versorgt werden.
Eine der auffälligsten Operationen richtete sich Symantec zufolge gegen eine Regierung im Nahen Osten. Statt einzelne Behörden separat anzugreifen, nahm Jewelbug eine gemeinsame Webhosting-Plattform ins Visier, die von dem staatlichen Telekommunikationsanbieter und der Netzwerkdienste-Agentur des Landes betrieben wurde. Die Angreifer verschafften sich Zugriff, erlangten Schreibrechte auf der Webmail-Plattform und platzierten dort ein Skript.
Immer wenn Regierungsmitarbeiter danach ihre E-Mails abriefen, band das Skript sie in das XG-Web-Panel ein, stahl ihre Anmelde-Cookies und zeigte gefälschte Adobe-Flash-Update-Hinweise an, hinter denen sich die Backdoor „Antino“ und „PDF Viewer“ verbargen. Weitere Kampagnen zielten laut Bericht auf Marine, Polizei und militärische Nachrichtendienste in Südostasien sowie auf einen großen US-Industrie- und Luftfahrtkonzern und andere ähnlich große Institutionen.
Zum Umfang der Aktivitäten nennt Symantec konkrete Zahlen: Die Forscher fanden mehr als 580.000 vollständige Browser-Cookie-Sammlungen, 2.300 vollständig exfiltrierte E-Mail-Nachrichten und mehrere Tausend Zugangsdaten in den Beständen der Gruppe. Diese Daten stammten von Tausenden unterschiedlichen Opfern.
Dick O’Brien, leitender Intelligence-Analyst im Symantec Threat Hunter Team, hält es aufgrund von Standort und Zielauswahl für „bei weitem das wahrscheinlichste Szenario“, dass Jewelbug für China arbeitet. Einen direkten Beleg für eine Verbindung zur Volksrepublik China gebe es allerdings nicht, räumt er ein. O’Brien verweist zugleich darauf, dass der Einsatz externer Auftragnehmer durch Staaten deutlich zugenommen habe und das Wachstum vor allem in China sichtbar sei.