Jewelbug unisce cyberspionaggio e frodi crypto nella stessa infrastruttura

🛡️ Executive Summary

• Jewelbug gestisce dalla stessa piattaforma XG-Web operazioni di spionaggio contro governi e militari e campagne commerciali di frode sulle criptovalute.
• L’arsenale comprende estensioni browser malevole, Antino per Windows e ClientKing per Linux, server e router, con capacità di movimento laterale e furto credenziali.
• Symantec ha osservato oltre un milione di check-in degli impianti, 580.000 cookie rubati e compromissioni di infrastrutture governative condivise in Asia e Medio Oriente.

Jewelbug, gruppo cinese conosciuto anche come Earth Alux, REF7707 e CL-STA-0049, mostra una sovrapposizione insolitamente esplicita tra cyberspionaggio governativo e criminalità informatica a scopo di lucro. Un’indagine durata mesi del Symantec Threat Hunter Team ha ricostruito un’infrastruttura nella quale le campagne contro ministeri, apparati militari e reti statali di Medio Oriente e Asia vengono amministrate dallo stesso ambiente usato per una macchina industriale di frodi sulle criptovalute. Il centro dell’operazione è XG-Web, piattaforma capace di trasformare il browser della vittima in un canale completo di controllo remoto. Nei database osservati dai ricercatori compaiono oltre un milione di check-in degli impianti, più di 580.000 cookie sottratti, migliaia di credenziali e oltre 2.300 email esfiltrate.

Jewelbug non separa più spionaggio e attività criminale

Il dato più importante dell’indagine non consiste semplicemente nell’attribuzione a Jewelbug di due tipologie differenti di attività. Secondo il rapporto del Symantec Threat Hunter Team, le campagne di intelligence e quelle commerciali condividono infrastrutture, strumenti, database e un unico pannello di controllo, elemento che porta i ricercatori a considerarle parte dello stesso ecosistema operativo. Sul versante dello spionaggio, gli obiettivi comprendono amministrazioni pubbliche, infrastrutture statali, apparati militari e provider che ospitano comunicazioni governative in Medio Oriente, Sud-est asiatico e Asia meridionale.

Sul versante finanziario, la stessa organizzazione gestisce un sistema di SEO poisoning rivolto soprattutto a utenti di lingua cinese interessati alle criptovalute, con domini che imitano exchange come Binance e OKX. Jewelbug non compare oggi per la prima volta nell’archivio di Matrice Digitale: già nell’ottobre 2025 era stata ricostruita l’espansione dell’APT cinese Jewelbug fino alla Russia, evidenziando sideloading DLL, abuso di Microsoft Graph API e una capacità operativa superiore alla semplice compromissione iniziale. Il nuovo rapporto permette però di vedere ciò che allora restava fuori campo: la struttura economica e infrastrutturale che sostiene contemporaneamente intelligence e monetizzazione criminale.

XG-Web trasforma il browser in una piattaforma di accesso remoto

Al centro dell’operazione si trova XG-Web, piattaforma composta da un frontend React, un backend Node.js e un database MySQL che funge anche da punto di incontro per gli impianti distribuiti alle vittime. La documentazione interna la descrive come strumento di penetration testing, ma le funzioni implementate comprendono esplicitamente browser hijacking, data theft e man-in-the-middle. Il componente principale è una falsa estensione per Chrome e Firefox chiamata “PDF Viewer”, alla quale vengono richiesti privilegi sufficienti per accedere a cookie, debugger, scripting, richieste Web, download e native messaging praticamente su qualsiasi sito visitato.

Una volta installata, l’estensione permette all’operatore di richiamare le API del browser, iniettare JavaScript nelle pagine aperte, leggere i form di autenticazione, sottrarre l’intero archivio dei cookie e seguire in tempo quasi reale la generazione di nuovi token di sessione. Può inoltre raccogliere cronologia, bookmark, screenshot e clipboard e contiene persino una funzione capace di sostituire un indirizzo di criptovaluta copiato con quello dell’attaccante, anche se Symantec precisa che tale capacità non risultava configurata nelle campagne osservate. Il browser diventa quindi qualcosa di più di una fonte di password: diventa un’interfaccia già autenticata verso le applicazioni interne e cloud della vittima, con sessioni valide e privilegi ereditati dall’utente. È un’evoluzione coerente con la precedente attività attribuita a Earth Alux contro infrastrutture critiche attraverso malware modulari, ma XG-Web porta il concetto a un livello più strutturato trasformando la sessione Web in una vera piattaforma operativa.

Antino usa Microsoft Graph per confondere il traffico C2

Quando il controllo del browser non è sufficiente, Jewelbug passa al sistema operativo attraverso Antino, backdoor Windows distribuita tramite file HTA, falsi installer Adobe e documenti-esca costruiti attorno a temi geopolitici. Uno degli esempi analizzati da Symantec imitava un invito a un evento del Center for Strategic and International Studies, scelta coerente con il targeting verso soggetti coinvolti in politica estera, sicurezza e difesa. Antino utilizza la Microsoft Graph API come canale di comando e controllo, inserendo le comunicazioni malevole dentro traffico diretto verso servizi Microsoft legittimi. Questa scelta riduce l’efficacia delle difese basate unicamente sulla reputazione dei domini, perché bloccare indiscriminatamente Graph significherebbe interferire con applicazioni e processi aziendali autentici.

Anche il meccanismo di evasione è automatizzato: un processo controllava ogni 12 ore la reputazione dei domini C2 su VirusTotal e permetteva agli operatori di sostituire rapidamente quelli già rilevati. I payload venivano inoltre offuscati nuovamente a ogni richiesta tramite XOR con chiavi casuali, rendendo differenti due download consecutivi dello stesso componente. L’abuso di Graph non è una novità nell’arsenale associato a Jewelbug: Matrice Digitale aveva già evidenziato questo elemento nella precedente ricostruzione del gruppo, mentre la più vecchia analisi dedicata alla campagna REF7707 contro ministeri e infrastrutture critiche mostrava come l’ecosistema avesse già sviluppato una forte capacità di riutilizzare strumenti e tecniche tra intrusioni differenti.

ClientKing porta l’accesso dentro Linux, router e reti aziendali

L’architettura di Jewelbug non termina su Windows. I ricercatori hanno recuperato 37 build di ClientKing, un impianto scritto in Rust progettato per server Linux, sistemi ARM64 e router ASUS. ClientKing supporta cinque modalità di comunicazione con il C2, compreso un tunnel DNS, e mette a disposizione una shell interattiva, SOCKS pivoting e caricamento di moduli kernel direttamente in memoria. A questo si aggiunge un toolkit complementare con rootkit kernel e un modulo di autenticazione malevolo capace di intercettare credenziali utilizzate attraverso SSH, su e sudo.

Alcune build erano configurate per comunicare utilizzando il proxy interno di un importante produttore aerospaziale e industriale statunitense, elemento particolarmente significativo perché suggerisce che gli strumenti fossero già preparati per funzionare all’interno di reti compromesse e non soltanto su sistemi raggiungibili da Internet. Symantec osserva inoltre che il server C2 di ClientKing si trovava nello stesso intervallo di rete dell’infrastruttura XG-Web, rafforzando il collegamento tra i diversi componenti. La struttura mostra un modello di attacco nel quale browser, endpoint e apparati di rete non costituiscono campagne separate, ma livelli consecutivi dello stesso percorso di accesso, con il browser usato per acquisire sessioni e credenziali e ClientKing impiegato per estendere la presenza verso l’infrastruttura interna.

Un solo script compromette oltre 15 webmail governative

La campagna più significativa documentata da Symantec riguarda un Paese del Medio Oriente nel quale Jewelbug ha compromesso la piattaforma condivisa utilizzata per ospitare le webmail governative. Gli operatori non hanno attaccato separatamente ogni ministero. Hanno ottenuto accesso in scrittura all’ambiente di hosting gestito dal provider statale delle telecomunicazioni e dei servizi di rete e hanno inserito un singolo tag JavaScript nel template comune. Poiché lo stesso modello veniva utilizzato da più amministrazioni, l’intervento ha trasformato contemporaneamente oltre 15 tenant governativi in watering hole.

Il codice veniva eseguito sia sulla pagina di login sia all’interno delle caselle di posta, aprendo un WebSocket verso il C2, sottraendo i cookie e associando ogni sistema compromesso all’indirizzo email istituzionale dell’utente. Gli operatori potevano quindi decidere quali vittime ricevevano un falso aggiornamento Adobe Flash, limitando il secondo stadio agli account appartenenti ai domini governativi desiderati e ai sistemi Windows non ancora compromessi. Dopo il click veniva installato Antino insieme alla falsa estensione PDF Viewer e al native messaging helper che permetteva di eseguire comandi sul sistema. In almeno un caso il controllo del browser ha consentito agli operatori di osservare traffico autenticato verso un cluster interno di gestione della virtualizzazione, dimostrando che l’attacco non si fermava alla posta elettronica ma veniva utilizzato per raggiungere risorse interne non pubblicamente esposte.

Il database distingue finalmente obiettivi e vittime reali

Uno degli aspetti più preziosi dell’indagine è l’accesso alla telemetria operativa del gruppo. Le liste di targeting di un APT mostrano ciò che l’attaccante vorrebbe colpire; i database di Jewelbug mostrano invece ciò che è stato effettivamente raggiunto. Symantec ha osservato più di un milione di righe relative ai check-in degli impianti, oltre 580.000 cookie browser sottratti, diverse migliaia di credenziali e più di 2.300 corpi di email esfiltrati. I log registravano inoltre circa 1,1 milioni di eventi di geolocalizzazione provenienti da circa 4.300 indirizzi IP distinti. I ricercatori segnalano oltre 87.000 connessioni provenienti da un Paese del Sud-est asiatico con presenza di reti statali, militari e di telecomunicazioni, circa 53.000 connessioni da un Paese mediorientale e altre migliaia da una seconda nazione del Sud-est asiatico. Questi numeri non equivalgono automaticamente ad altrettante vittime: un singolo impianto può effettuare numerosi check-in e generare molteplici eventi. Il loro valore sta nel dimostrare che l’infrastruttura non conteneva soltanto obiettivi teorici, ma sessioni autentiche, email, cookie e traffico interno realmente acquisiti. È proprio questa distinzione a rendere il dossier Jewelbug più rilevante delle normali analisi basate su IOC o campioni isolati.

La frode crypto usa SEO poisoning come attività industriale

Sul lato commerciale, Jewelbug gestisce un’attività completamente diversa per finalità ma integrata tecnicamente con lo spionaggio. Il gruppo ha costruito una pipeline di SEO poisoning che impiega un generatore di articoli basato su intelligenza artificiale per produrre migliaia di pagine dedicate a falsi download di exchange. L’infrastruttura comprende più di 40 server di content management, bot di click fraud e centinaia di domini che imitano OKX e Binance. Il sistema utilizza cloaking per mostrare ai crawler dei motori di ricerca contenuti differenti rispetto a quelli visualizzati dagli utenti, cercando così di ottenere visibilità organica senza esporre immediatamente il contenuto fraudolento ai controlli automatici. La parte commerciale viene pubblicizzata su Telegram come servizio di search-ranking rental e Symantec ha collegato con alta confidenza questa attività a una società registrata nella provincia cinese dello Hunan, sulla base di documenti di identità, licenza societaria e materiale amministrativo appartenente agli operatori. La ricerca resta però prudente sull’attribuzione personale dello spionaggio: il rapporto preciso tra il rappresentante legale individuato e chi esegue materialmente le operazioni contro governi e militari non è stato stabilito. La valutazione più probabile dei ricercatori è che l’attività SEO fornisca infrastruttura, accessi e capacità di delivery alle operazioni di intelligence, piuttosto che immaginare una singola persona impegnata direttamente in entrambi i ruoli.

Jewelbug assomiglia sempre più a un servizio hack-for-hire

La sovrapposizione tra operazioni finanziarie e spionaggio porta Symantec a descrivere Jewelbug come una realtà hack-for-hire, dove la stessa base tecnica può servire clienti, obiettivi e modelli economici differenti. Questo punto distingue il gruppo da molte APT tradizionali. Non si osserva soltanto il riutilizzo occasionale di un server o di un malware, fenomeno comune nell’ecosistema cinese, ma una struttura nella quale browser hijacking, backdoor Windows, impianti Linux, infrastruttura SEO, frodi crypto e campagne governative convergono in un unico database e nello stesso pannello operativo. È una dinamica che richiama, pur con finalità e attribuzioni completamente differenti, la crescente industrializzazione delle operazioni statali e para-statali osservata anche nelle campagne recenti: Matrice Digitale ha documentato nell’ultima settimana come Kimsuky e l’ecosistema nordcoreano combinino spionaggio, criptovalute, strumenti AI e infiltrazione attraverso falsi lavoratori IT. Nel caso Jewelbug, però, l’elemento distintivo non è l’intelligenza artificiale ma l’intercambiabilità dell’infrastruttura: la stessa piattaforma può sottrarre cookie a un funzionario governativo, trasformare una webmail statale in watering hole e contemporaneamente sostenere una rete commerciale di siti crypto fraudolenti. Il valore del rapporto Symantec sta proprio nell’aver mostrato questa continuità con dati operativi, anziché limitarla a un’ipotesi attributiva.