Jewelbug, el grupo APT que combina espionaje estatal y robo de criptomonedas

Una única infraestructura para dos objetivos

Investigadores de Symantec han identificado a Jewelbug, un grupo APT chino aparentemente organizado como una estructura mercenaria. La actividad, detectada el 13 de agosto de 2026, combina operaciones de ciberespionaje contra gobiernos y empresas con campañas a gran escala para sustraer criptomonedas y credenciales.

El grupo habría utilizado la misma infraestructura técnica para ambas actividades. En el centro se encuentra XG-Web, una plataforma de comando y control accesible mediante una interfaz similar a la de un servicio SaaS. El panel permite generar código malicioso, administrar los sistemas comprometidos, consultar los datos robados y coordinar a los operadores.

La organización interna parece estructurada. XG-Web contempla cuentas con distintos roles, entre ellos superadmin, admin y usuarios ordinarios. Los operadores con menos privilegios solo pueden ver las víctimas comprometidas directamente por ellos. A pesar de la escala de las campañas, Symantec considera que Jewelbug es un grupo relativamente pequeño.

La relación con intereses estatales chinos se considera probable a partir de la presunta ubicación de los operadores y de los objetivos seleccionados. Sin embargo, no se ha demostrado una relación directa con el Gobierno de la República Popular China.

Antino, ClientKing y la extensión PDF Viewer

Jewelbug utiliza al menos tres componentes principales. Antino es una backdoor para Windows, empleada sobre todo en operaciones contra organismos gubernamentales y organizaciones estratégicas. ClientKing desempeña una función similar en sistemas Linux.

La tercera herramienta, denominada PDF Viewer, es una extensión maliciosa para navegadores que no ofrece una función real de visualización de documentos. Por el contrario, solicita todos los permisos disponibles y puede acceder a una cantidad muy amplia de información.

La extensión puede robar cookies, tokens de sesión, historial, capturas de pantalla, tráfico y otros datos gestionados por el navegador. También puede inyectar JavaScript arbitrario en las páginas visitadas e interactuar con el navegador de la víctima como si el atacante lo controlara localmente.

Estas capacidades pueden permitir eludir, al menos en determinados escenarios, la autenticación multifactor. Un token de sesión robado puede proporcionar acceso a una cuenta ya autenticada sin tener que repetir necesariamente el segundo factor.

PDF Viewer también incluye una función especialmente peligrosa para quienes utilizan servicios financieros en línea: puede sustituir silenciosamente la dirección de la wallet del destinatario por otra controlada por el atacante durante una transacción. Según la investigación, esta capacidad aún no habría sido utilizada por los operadores observados.

El riesgo sigue siendo real. Una extensión capaz de modificar el contenido mostrado en el navegador puede alterar la dirección de destino mientras el usuario cree estar autorizando un pago legítimo.

El caso de un Gobierno de Oriente Medio

Una de las operaciones más importantes afectó a un Gobierno de Oriente Medio. Jewelbug no atacó cada organismo público por separado: comprometió una plataforma compartida de web hosting gestionada por el proveedor estatal de telecomunicaciones junto con la agencia nacional de servicios de red.

Tras obtener acceso de escritura a la plataforma de webmail, los atacantes insertaron un script en las páginas del servicio. Cuando un empleado accedía al correo electrónico, el script registraba a la víctima en XG-Web y robaba las cookies de autenticación.

A continuación, la página mostraba una falsa actualización de Adobe Flash. Tras esa solicitud aparentemente legítima se instalaban Antino y PDF Viewer.

La técnica explota una debilidad tanto organizativa como tecnológica: una plataforma compartida puede convertirse en un multiplicador del impacto. El compromiso de un único servicio ofreció una vía de acceso a numerosos empleados y organismos gubernamentales.

Otras campañas tuvieron como objetivo organismos de inteligencia de la marina, la policía y el ejército en el Sudeste Asiático. Entre las víctimas también figura un importante fabricante estadounidense activo en los sectores industrial y aeroespacial, junto con otras grandes instituciones de características similares.

Una red de phishing creada con inteligencia artificial

Cuando la infraestructura no se utiliza para el espionaje, Jewelbug la emplea en campañas de fraude financiero. El grupo habría creado cientos de exchanges de criptomonedas falsos y miles de sitios web dedicados a criptomonedas, deportes, apuestas y otros temas.

La inteligencia artificial se utiliza para producir rápidamente el contenido de los portales falsos. La red incluye 44 servidores de gestión de contenidos, desde los que los operadores administran los sitios y las campañas.

Para atraer visitantes, Jewelbug también recurre al click fraud y a técnicas abusivas de SEO. Los portales utilizan un snippet de PHP para reconocer a los crawlers de los motores de búsqueda y mostrarles contenido inofensivo. A las víctimas seleccionadas, en cambio, se les presenta material fraudulento o malware.

Este comportamiento, conocido como cloaking, dificulta la detección de los sitios durante las comprobaciones automatizadas. Un motor de búsqueda puede recibir una página aparentemente normal, mientras que un usuario procedente de una campaña dirigida ve un servicio financiero falso o una actualización de software maliciosa.

La combinación con PDF Viewer amplía el daño potencial. El grupo puede atraer a la víctima a un sitio fraudulento, instalar una extensión maliciosa y utilizar después cookies, tokens y datos del navegador para acceder a servicios que el usuario ya utiliza.

El volumen de datos robados y la cuestión de la atribución

El material recopilado incluye más de 580.000 archivos completos de cookies del navegador, 2.300 cuerpos íntegros de mensajes de correo electrónico y varios miles de credenciales. Los datos corresponden a miles de víctimas distintas.

Un archivo completo de cookies puede proporcionar una visibilidad mucho mayor que el simple robo de una contraseña. Puede contener sesiones aún válidas, identificadores de autenticación e información sobre las actividades realizadas por el usuario en servicios web.

La doble naturaleza de Jewelbug complica la atribución. El grupo podría operar por encargo de una agencia estatal, trabajar de forma autónoma para vender posteriormente la información a interlocutores gubernamentales o combinar ambas modalidades.

El uso de contratistas externos puede aumentar la capacidad operativa de un Estado, pero también introduce riesgos. Los operadores motivados por el beneficio pueden aplicar procedimientos menos rigurosos, dejar más rastros y realizar actividades delictivas independientes junto con las misiones de espionaje.

No se ha comunicado ninguna puntuación CVSS ni una clasificación formal de gravedad. Tampoco se trata de una vulnerabilidad de software asociada a un CVE: no consta que esta campaña haya sido incluida en el catálogo KEV de CISA. Por tanto, en este caso no existen una fecha de incorporación al catálogo ni un plazo de remediación.

Contramedidas para empresas y administraciones

Las organizaciones deberían eliminar las extensiones de navegador no autorizadas y gestionar de forma centralizada los permisos concedidos a los complementos. También deben revisarse las instalaciones inesperadas y las solicitudes de actualización de Adobe Flash u otros programas.

Después de una posible intrusión, es necesario invalidar cookies y tokens, forzar la renovación de las sesiones y revisar los accesos recientes al webmail. Buscar Antino, ClientKing, PDF Viewer y referencias a XG-Web puede aportar indicios útiles para el análisis, aunque no se hayan publicado firmas antivirus ni IOC técnicos completos.

Las plataformas de hosting compartidas deben limitar los accesos de escritura y registrar cualquier modificación en los portales públicos. Los scripts PHP insertados sin autorización, los cambios de contenido y las respuestas diferentes a crawlers y usuarios requieren una revisión inmediata.

En las transacciones con criptomonedas, la dirección de la wallet debería verificarse a través de un canal independiente antes de confirmar la operación. No basta con comprobar lo que aparece en la página del navegador, especialmente cuando una extensión puede modificar dinámicamente el contenido mostrado.

Por último, los equipos de seguridad deberían monitorizar dominios de phishing, campañas de SEO artificiales y sitios cuyo contenido cambia según la identidad del visitante. En el caso de Jewelbug, la misma cadena puede encargarse del señuelo, el compromiso del navegador, el robo de sesiones y la exfiltración de información estratégica.