Nach Angaben von Symantec richteten sich die Spionagekampagnen von Jewelbug gegen Regierungsorganisationen im Nahen Osten und in Südostasien sowie gegen mehr als 90 E-Mail-Adressen von Polizei- und Regierungsstellen in Südasien. Getrennte Implantate für Linux und Router erweiterten die Reichweite laut dem Unternehmen bis in die Netzwerkinfrastruktur; einige Varianten seien so konfiguriert gewesen, dass sie über den internen Unternehmens-Proxy eines großen US-Herstellers aus Luft- und Raumfahrt sowie Industrie nach außen funken.
Parallel dazu soll die Gruppe eine finanziell motivierte Operation gegen chinesischsprachige Kryptonutzer betrieben haben. Dabei kamen gefälschte Download-Portale für Börsen zum Einsatz. Täuschungsdokumente, die sich als Unterlagen taiwanischer Regierungsstellen ausgaben, deuten laut Symantec darauf hin, dass sich das Zielbild wahrscheinlich auch auf Taiwan erstreckte.
Im Mittelpunkt steht XG-Web, eine auf Browser ausgerichtete Plattform für Fernzugriff und Informationsdiebstahl. Das System besteht aus einem React-Panel auf einem Node.js-Backend mit MySQL-Datenbank. Die Entwickler beschreiben es laut Symantec als Plattform für Penetrationstests. Ein geplanter Hintergrundjob prüft demnach alle zwölf Stunden die eigene Kommando-und-Kontroll-Infrastruktur der Gruppe bei VirusTotal, um sie bei Bedarf schnell auszutauschen.
XG-Web nutzt außerdem öffentlich erreichbare Google Docs, um verschleierte Nutzlasten bereitzustellen, die von den Implantaten abgerufen und ausgeführt werden. Diese Nutzlasten sind mit XOR und einem zufälligen Schlüssel codiert, sodass keine zwei Exemplare identisch sind. Die Hostnamen der Kommando-und-Kontroll-Server tarnen sich als gewöhnliche Ressourcen wie Google Fonts.
Das wichtigste Implantat ist eine bösartige Browser-Erweiterung mit dem Namen „PDF Viewer“ für Google Chrome und Mozilla Firefox. Nach der Installation fordert sie weitreichende Berechtigungen an, darunter Zugriff auf Cookies, den Debugger und Native Messaging. Sie kann Skripte ausführen, Webanfragen abfangen und Downloads auf sämtlichen Seiten überwachen. Laut Symantec erlaubt die Erweiterung das Ausführen beliebigen JavaScripts auf jeder Webseite, die Ferninteraktion mit dem Browser sowie den Diebstahl von Zugangsdaten über Login-Formulare, Cookies, Browserverlauf, Lesezeichen, Bildschirmfotos, Zwischenablage und Webverkehr.
Das Zwischenablage-Modul arbeitet zudem wie ein Clipper und ersetzt kopierte Wallet-Adressen für Kryptowährungen durch Adressen der Angreifer, um Transaktionen umzuleiten. Nach Angaben von Symantec wurden während des beobachteten Kampagnenzeitraums jedoch keine Regeln für diesen Adressaustausch ausgelöst. Um die Browser-Sandbox zu umgehen, kommunizierte die Erweiterung mit einem Windows-Hilfsprogramm, das unter dem irreführenden Namen com.microsoft.runedge als Native-Messaging-Host registriert war und Befehle der Operatoren über den Windows-Befehlsinterpreter ausführte.
Als größte Spionageoperation der Gruppe beschreibt Symantec die Kompromittierung eines Webhosting-Anbieters. Dort wurde JavaScript in eine verbreitete Webmail-Installation eingeschleust, die von mehreren Ministerien einer Regierung im Nahen Osten genutzt wurde. Die Watering-Hole-Kampagne umfasste 15 Webmail-Mandanten aus dem Regierungsumfeld. Der Schadcode lief auf der Login-Seite und in jeder Postfachansicht, exfiltrierte Cookies über eine WebSocket-Verbindung und lieferte eine weitere Nutzlast aus. Diese prüfte, ob die E-Mail-Adresse zu den anvisierten Regierungsdomänen gehörte, das Konto noch nicht kompromittiert war und das System unter Windows lief, bevor sie eine gefälschte Adobe-Flash-Aktualisierung anzeigte.
Wer auf diese Aufforderung klickte, erhielt Antino als zweite Stufe von der von den Angreifern verwalteten Domain „microsoft-flash[.]com“. Die heruntergeladene Binärdatei schleuste außerdem die Erweiterung „PDF Viewer“ in das Browserprofil des Nutzers ein und änderte die Windows-Registrierung, damit das Add-on beim nächsten Start des Browsers automatisch geladen wird.
Das Ausmaß der Spionagekampagne beziffert Symantec auf mehr als eine Million Check-in-Zeilen der Implantate, über 580.000 gestohlene Browser-Cookies, mehrere tausend erfasste Zugangsdaten und mindestens 2.300 exfiltrierte E-Mail-Inhalte. Laufzeitprotokolle der Server verzeichneten zudem rund 1,1 Millionen Geolokalisierungsereignisse zu etwa 4.300 unterschiedlichen Quell-IP-Adressen.
Der finanzielle Arm von Jewelbug wird laut Symantec als registriertes chinesisches Unternehmen betrieben, das auf Telegram einen kommerziellen Dienst zur Suchmaschinenoptimierung bewirbt. Tatsächlich handele es sich mutmaßlich um eine Tarnung für ein Schema zur Suchmaschinenvergiftung mit KI-generierten Fälschungsseiten, die OKX und Binance imitieren, mehr als 40 Content-Management-Servern und Klickbetrugs-Bots. Diese Infrastruktur bringe Suchmaschinen dazu, gefälschte Seiten von Kryptobörsen prominent zu listen. Suchen chinesischsprachige Nutzer nach OKX oder Binance und laden dort einen trojanisierten Desktop-Client oder die Erweiterung „PDF Viewer“ herunter, führt das laut Symantec zum Diebstahl sensibler Daten.