Jewelbug: Die APT-Gruppe, die staatliche Spionage mit dem Diebstahl von Kryptowährungen verbindet

Eine Infrastruktur für zwei Ziele

Forscher von Symantec haben Jewelbug identifiziert, eine chinesische APT-Gruppe, die offenbar wie eine Söldnerstruktur organisiert ist. Die am 13. August 2026 entdeckten Aktivitäten verbinden Cyber-Spionage gegen Regierungen und Unternehmen mit groß angelegten Kampagnen zum Diebstahl von Kryptowährungen und Zugangsdaten.

Die Gruppe soll für beide Aktivitäten dieselbe technische Infrastruktur verwendet haben. Im Mittelpunkt steht XG-Web, eine Command-and-Control-Plattform mit einer Oberfläche, die an einen SaaS-Dienst erinnert. Über das Panel lassen sich Schadcode generieren, kompromittierte Systeme verwalten, gestohlene Daten einsehen und Operatoren koordinieren.

Die interne Organisation wirkt strukturiert. XG-Web unterstützt Konten mit unterschiedlichen Rollen, darunter Superadmins, Administratoren und normale Benutzer. Operatoren mit geringeren Berechtigungen sehen ausschließlich die Opfer, die sie selbst kompromittiert haben. Trotz der Größe der Kampagnen geht Symantec davon aus, dass Jewelbug ein vergleichsweise kleines Team ist.

Eine Verbindung zu chinesischen staatlichen Interessen gilt aufgrund des mutmaßlichen Standorts der Operatoren und der ausgewählten Ziele als wahrscheinlich. Ein direkter Zusammenhang mit der Regierung der Volksrepublik China konnte jedoch nicht nachgewiesen werden.

Antino, ClientKing und die Erweiterung PDF Viewer

Jewelbug verwendet mindestens drei zentrale Komponenten. Antino ist eine Windows-Backdoor, die vor allem bei Operationen gegen Regierungsstellen und strategisch wichtige Organisationen eingesetzt wird. ClientKing erfüllt eine ähnliche Funktion auf Linux-Systemen.

Das dritte Tool, PDF Viewer, ist eine schädliche Browser-Erweiterung, die keine echte Dokumentenanzeige bietet. Stattdessen fordert sie sämtliche verfügbaren Berechtigungen an und kann auf eine sehr große Menge an Informationen zugreifen.

Die Erweiterung kann Cookies, Sitzungstoken, den Browserverlauf, Screenshots, Datenverkehr und weitere vom Browser verarbeitete Informationen stehlen. Außerdem kann sie beliebigen JavaScript-Code in besuchte Webseiten einschleusen und mit dem Browser des Opfers interagieren, als würde der Angreifer ihn lokal steuern.

Diese Fähigkeiten können unter bestimmten Umständen die Multi-Faktor-Authentifizierung umgehen. Ein gestohlenes Sitzungstoken kann den Zugriff auf ein bereits authentifiziertes Konto ermöglichen, ohne dass der zweite Faktor erneut eingegeben werden muss.

PDF Viewer enthält zudem eine besonders riskante Funktion für Nutzer von Online-Finanzdiensten: Während einer Transaktion kann die Erweiterung die Wallet-Adresse des Empfängers unbemerkt durch eine vom Angreifer kontrollierte Adresse ersetzen. Laut der Untersuchung wurde diese Möglichkeit von den beobachteten Operatoren bislang offenbar noch nicht ausgenutzt.

Das Risiko bleibt dennoch erheblich. Eine Erweiterung, die den im Browser angezeigten Inhalt verändern kann, ist in der Lage, die Zieladresse zu manipulieren, während der Nutzer glaubt, eine legitime Zahlung zu autorisieren.

Der Fall einer Regierung im Nahen Osten

Eine der bedeutendsten Operationen richtete sich gegen eine Regierung im Nahen Osten. Jewelbug griff nicht jede Behörde einzeln an, sondern kompromittierte eine gemeinsam genutzte Webhosting-Plattform, die vom staatlichen Telekommunikationsanbieter zusammen mit der nationalen Netzwerkbehörde betrieben wurde.

Nachdem sich die Angreifer Schreibzugriff auf die Webmail-Plattform verschafft hatten, fügten sie den Serviceseiten ein Skript hinzu. Wenn ein Mitarbeiter auf seine E-Mails zugriff, registrierte das Skript das Opfer bei XG-Web und stahl die Authentifizierungscookies.

Anschließend zeigte die Seite ein gefälschtes Adobe-Flash-Update an. Hinter dieser scheinbar legitimen Aufforderung wurden Antino und PDF Viewer installiert.

Die Technik nutzt neben einer technologischen auch eine organisatorische Schwachstelle aus: Eine gemeinsam genutzte Plattform kann die Auswirkungen eines Angriffs vervielfachen. Die Kompromittierung eines einzigen Dienstes eröffnete den Angreifern einen Weg zu zahlreichen Mitarbeitern und Regierungsbehörden.

Weitere Kampagnen zielten auf Nachrichtendienste der Marine, Polizei und Armee in Südostasien. Zu den Zielen gehörte außerdem ein bedeutender US-Hersteller aus dem Industrie- und Luftfahrtsektor sowie weitere große Institutionen mit vergleichbaren Merkmalen.

Ein mit künstlicher Intelligenz aufgebautes Phishing-Netzwerk

Wenn die Infrastruktur nicht für Spionage eingesetzt wird, nutzt Jewelbug sie für Kampagnen zur Finanzkriminalität. Die Gruppe soll Hunderte gefälschter Kryptowährungsbörsen und Tausende Websites zu Kryptowährungen, Sport, Wetten und weiteren Themen erstellt haben.

Künstliche Intelligenz wird eingesetzt, um die Inhalte der gefälschten Portale schnell zu erstellen. Das Netzwerk umfasst 44 Content-Management-Server, über die die Operatoren Websites und Kampagnen verwalten.

Um Besucher anzulocken, setzt Jewelbug auch auf Klickbetrug und manipulative SEO-Techniken. Die Portale verwenden ein PHP-Snippet, das Crawler von Suchmaschinen erkennt und ihnen harmlose Inhalte anzeigt. Ausgewählten Opfern werden dagegen betrügerische Inhalte oder Malware präsentiert.

Dieses als Cloaking bezeichnete Verhalten erschwert die Erkennung der Websites durch automatisierte Prüfungen. Eine Suchmaschine kann eine scheinbar normale Seite erhalten, während ein Nutzer aus einer gezielten Kampagne einen gefälschten Finanzdienst oder ein schädliches Software-Update angezeigt bekommt.

Die Kombination mit PDF Viewer erhöht das Schadenspotenzial zusätzlich. Die Gruppe kann das Opfer auf eine gefälschte Website locken, eine schädliche Erweiterung installieren und anschließend Cookies, Token und Browserdaten verwenden, um auf bereits vom Nutzer verwendete Dienste zuzugreifen.

Umfang der gestohlenen Daten und die Frage der Attribution

Das gesammelte Material umfasst mehr als 580.000 vollständige Archive mit Browser-Cookies, 2.300 vollständige E-Mail-Inhalte und mehrere Tausend Zugangsdaten. Die Daten beziehen sich auf Tausende unterschiedliche Opfer.

Ein vollständiges Cookie-Archiv kann wesentlich mehr Einblick ermöglichen als der bloße Diebstahl eines Passworts. Es kann noch gültige Sitzungen, Authentifizierungskennungen und Informationen über die Aktivitäten des Nutzers in Webdiensten enthalten.

Die doppelte Ausrichtung von Jewelbug erschwert die Attribution. Die Gruppe könnte im Auftrag einer staatlichen Behörde handeln, eigenständig arbeiten und die Informationen später an staatliche Auftraggeber verkaufen oder beide Modelle kombinieren.

Der Einsatz externer Auftragnehmer kann die operativen Fähigkeiten eines Staates erweitern, bringt jedoch auch Risiken mit sich. Gewinnorientierte Operatoren arbeiten möglicherweise weniger sorgfältig, hinterlassen mehr Spuren und führen neben Spionagemissionen eigenständige kriminelle Aktivitäten durch.

Es wurde weder ein CVSS-Score noch eine formale Einstufung des Schweregrads veröffentlicht. Außerdem handelt es sich nicht um eine mit einer CVE verknüpfte Softwareschwachstelle. Es ist nicht bekannt, dass diese Kampagne in den KEV-Katalog der CISA aufgenommen wurde. Daher liegen für diesen Fall weder ein Aufnahmedatum noch eine Frist zur Behebung vor.

Gegenmaßnahmen für Unternehmen und Behörden

Organisationen sollten nicht autorisierte Browser-Erweiterungen entfernen und die von Add-ons gewährten Berechtigungen zentral verwalten. Auch unerwartete Installationen oder Update-Aufforderungen für Adobe Flash und andere Software müssen überprüft werden.

Nach einer möglichen Kompromittierung sollten Cookies und Token ungültig gemacht, Sitzungen zwangsweise erneuert und die letzten Zugriffe auf die Webmail-Plattform geprüft werden. Die Suche nach Antino, ClientKing, PDF Viewer und Verweisen auf XG-Web kann wertvolle Hinweise für die Analyse liefern, auch wenn bislang keine vollständigen Antiviren-Signaturen oder technischen IOC veröffentlicht wurden.

Gemeinsam genutzte Hosting-Plattformen müssen Schreibzugriffe beschränken und jede Änderung an öffentlichen Portalen protokollieren. Nicht autorisierte PHP-Skripte, Inhaltsänderungen und unterschiedliches Verhalten gegenüber Crawlern und Nutzern erfordern eine sofortige Prüfung.

Bei Kryptowährungstransaktionen sollte die Wallet-Adresse vor der Bestätigung über einen separaten Kanal verifiziert werden. Es reicht nicht aus, ausschließlich die im Browser angezeigten Informationen zu kontrollieren, insbesondere wenn eine Erweiterung den dargestellten Inhalt dynamisch verändern kann.

Schließlich sollten Sicherheitsteams Phishing-Domains, künstliche SEO-Kampagnen und Websites überwachen, deren Inhalte abhängig von der Identität des Besuchers wechseln. Im Fall von Jewelbug kann dieselbe Infrastruktur das Anlocken der Opfer, die Kompromittierung des Browsers, den Diebstahl von Sitzungen und die Exfiltration strategischer Informationen abwickeln.