Symantec beschreibt Jewelbug als eine in China ansässige Gruppe, die Behörden und Organisationen in kritischen Sektoren angreift, darunter Verteidigung, Telekommunikation, Bildung und Luftfahrt. Die parallel beobachteten Aktivitäten rund um Kryptowährungen sprechen den Forschern zufolge dafür, dass die Akteure möglicherweise auch als Auftrags-Hacker auftreten, die mit Cyberkriminalität Gewinne erzielen wollen.
Im Zentrum der jüngsten Spionageoperation stand eine gemeinsam genutzte Webmail-Umgebung. Laut Symantec erlangte die Gruppe nach der Kompromittierung einer geteilten Webhosting-Plattform, die vom staatlichen Telekommunikationsanbieter und der nationalen Dienstleistungsbehörde betrieben wurde, Schreibzugriff auf die Webmail-Installation mehrerer Ministerien und Behörden. Durch das Einfügen eines einzigen Skript-Tags sorgten die Angreifer dafür, dass die JavaScript-Nutzlast bei jeder Anmeldung eines Nutzers auf einer von neun Regierungsdomänen sowie in jeder Postfachansicht aktiv wurde. Symantec schreibt, eine einzelne Kampagne habe sich über mehr als 15 Regierungs-Webmail-Mandanten erstreckt.
Nach der Ausführung leitete das Skript Webmail-Cookies aus und stellte fest, ob ein Nutzer zu einer Ziel-Domäne gehörte. Wertvolle Ziele bekamen anschließend einen gefälschten Adobe-Flash-Hinweis angezeigt, der Antino und zusätzliche Browser-Werkzeuge installierte. Laut Symantec verteilt Jewelbug Antino über bösartige HTA-Dateien und gefälschte Adobe-Flash- beziehungsweise Adobe-Installer und nutzt die Hintertür danach zum Nachladen weiterer Schadkomponenten.
Zu diesen Komponenten gehört eine bösartige Browser-Erweiterung namens PDF Viewer für Chrome und Firefox. Sie stiehlt Cookies und Zugangsdaten, fängt Datenverkehr ab, injiziert JavaScript und legt Browser-Funktionen aus der Ferne offen. Neben Antino setzt Jewelbug auch das Remote-Access- und Datendiebstahl-Framework XG-Web ein, um Kampagnen und Opferinformationen zu verwalten.
Symantec konnte Antino-Infektionen der Infrastruktur von Jewelbug zuordnen und erhielt dadurch Einblick in die C2-Verwaltungsplattform, Datenbank, Server-Protokolle, den Quellcode und Operator-Dateien der Gruppe. Diese Daten zeigten nach Angaben der Forscher sowohl eine großangelegte Spionageoperation als auch „ein Kryptobetrugsgeschäft im industriellen Maßstab“. In der Opferdatenbank fanden sich demnach mehr als eine Million Check-in-Zeilen von Implantaten, mehr als 580.000 gestohlene Browser-Cookies, mehrere tausend erfasste Zugangsdaten und mehr als 2.300 ausgeleitete E-Mail-Inhalte.
Für den Spionageteil nahm Jewelbug laut Symantec Regierungs- und Militärorganisationen im Nahen Osten, in Südostasien und in Südasien ins Visier. Laufzeitprotokolle des Servers verzeichneten rund 1,1 Millionen Geolokalisierungsereignisse zu etwa 4.300 unterschiedlichen Quell-IP-Adressen, darunter etwa 87.200 Verbindungen aus einem südostasiatischen Land gegen Telekom- und Militärnetze des Staates, etwa 53.100 aus einem Land im Nahen Osten über Adressbereiche des nationalen Carriers einschließlich in der Hauptstadt mit Starlink verbundener Adressen sowie etwa 15.000 aus einem zweiten südostasiatischen Land, darunter Infrastruktur von Regierungsministerien.
Der finanziell motivierte Teil der Operation stützte sich laut Symantec auf KI-generierte Artikel, die Besucher auf gefälschte Krypto-Börsenseiten lenken sollten, sowie auf Klickbetrugs-Bots zur Manipulation von Suchrankings. Die Angreifer verwendeten demnach eine automatisierte Angriffspipeline, die Schlüsselwörter sammelt, mit KI tausende gefälschte Download-Seiten erzeugt und sie „über eine Content-Management-Flotte aus 44 Servern und Hunderte täuschend ähnliche Domains“ veröffentlicht, die sich als OKX und Binance ausgeben. Weitere Köder waren Sportwetten, Portale für raubkopierte Livestreams und Betrugsmaschen rund um Privatdetektive.
Symantec schreibt, mit hoher Sicherheit ließen sich die finanziell motivierten Aktivitäten von Jewelbug einem chinesischen Unternehmen zuordnen, das Suchmaschinenoptimierungs-Dienste bewirbt. Zusätzlich setzt die Gruppe ein in Rust geschriebenes Implantat namens ClientKing ein, das Linux-Server, ARM64-Geräte und ASUS-Router angreift und Befehlsausführung, SOCKS-Proxying, DNS-Tunneling sowie das Laden von Kernel-Modulen im Speicher unterstützt. Verschleierte Nutzlasten hosteten die Angreifer zudem in öffentlichen Google Docs, damit der schädliche Datenverkehr zwischen legitimen Google-Diensten weniger auffällt. Symantec hat zu den beobachteten Aktivitäten Indikatoren einer Kompromittierung sowie einen ausführlicheren technischen Bericht veröffentlicht.