Jewelbug, le groupe APT qui associe espionnage d’État et vol de cryptomonnaies

Une même infrastructure pour deux objectifs

Des chercheurs de Symantec ont identifié Jewelbug, un groupe APT chinois apparemment organisé comme une structure de mercenaires. L’activité, détectée le 13 août 2026, combine des opérations de cyberespionnage contre des gouvernements et des entreprises avec des campagnes à grande échelle visant à dérober des cryptomonnaies et des identifiants.

Le groupe aurait utilisé la même infrastructure technique pour ces deux activités. Au cœur du dispositif se trouve XG-Web, une plateforme de commande et contrôle accessible via une interface similaire à celle d’un service SaaS. Le panneau permet de générer du code malveillant, d’administrer les systèmes compromis, de consulter les données volées et de coordonner les opérateurs.

L’organisation interne semble structurée. XG-Web prévoit des comptes dotés de rôles différents, notamment superadmin, admin et utilisateurs standard. Les opérateurs disposant de privilèges limités ne peuvent voir que les victimes qu’ils ont compromises directement. Malgré l’ampleur des campagnes, Symantec estime que Jewelbug reste une équipe relativement réduite.

Le lien avec les intérêts de l’État chinois est considéré comme probable au regard de la localisation présumée des opérateurs et des cibles sélectionnées. Aucune relation directe avec le gouvernement de la République populaire de Chine n’a toutefois été démontrée.

Antino, ClientKing et l’extension PDF Viewer

Jewelbug utilise au moins trois composants principaux. Antino est une porte dérobée pour Windows, employée principalement dans les opérations visant des organismes gouvernementaux et des organisations stratégiques. ClientKing joue un rôle similaire sur les systèmes Linux.

Le troisième outil, baptisé PDF Viewer, est une extension de navigateur malveillante qui n’offre aucune véritable fonction de visualisation de documents. Elle demande au contraire toutes les autorisations disponibles et peut accéder à une très grande quantité d’informations.

L’extension peut dérober les cookies, les jetons de session, l’historique, les captures d’écran, le trafic et d’autres données gérées par le navigateur. Elle peut également injecter du JavaScript arbitraire dans les pages consultées et interagir avec le navigateur de la victime comme s’il était contrôlé localement par l’attaquant.

Ces capacités peuvent permettre de contourner, dans certains scénarios, l’authentification multifacteur. Un jeton de session volé peut en effet permettre d’accéder à un compte déjà authentifié sans devoir saisir à nouveau le second facteur.

PDF Viewer contient également une fonctionnalité particulièrement dangereuse pour les utilisateurs de services financiers en ligne : elle peut remplacer silencieusement l’adresse du portefeuille du destinataire par une adresse contrôlée par l’attaquant pendant une transaction. Selon les recherches, cette possibilité n’aurait pas encore été exploitée par les opérateurs observés.

Le risque reste néanmoins réel. Une extension capable de modifier le contenu affiché dans le navigateur peut changer l’adresse de destination alors que l’utilisateur pense autoriser un paiement légitime.

Le cas d’un gouvernement du Moyen-Orient

L’une des opérations les plus importantes a ciblé un gouvernement du Moyen-Orient. Jewelbug n’a pas attaqué séparément chaque agence publique : le groupe a compromis une plateforme mutualisée d’hébergement web gérée par le fournisseur public de télécommunications avec l’agence nationale chargée des services réseau.

Après avoir obtenu un accès en écriture à la plateforme de messagerie web, les attaquants ont inséré un script dans les pages du service. Lorsqu’un employé accédait à sa messagerie, le script enregistrait la victime sur XG-Web et dérobait ses cookies d’authentification.

La page affichait ensuite une fausse mise à jour d’Adobe Flash. Derrière cette demande apparemment légitime, Antino et PDF Viewer étaient installés.

Cette technique exploite une faiblesse organisationnelle autant que technologique : une plateforme mutualisée peut amplifier considérablement l’impact d’une attaque. La compromission d’un seul service a ainsi ouvert un accès à de nombreux employés et organismes gouvernementaux.

D’autres campagnes ont ciblé des structures de renseignement de la marine, de la police et de l’armée en Asie du Sud-Est. Parmi les cibles figurait également un important fabricant américain actif dans les secteurs industriel et aérospatial, ainsi que d’autres grandes institutions présentant des caractéristiques similaires.

Un réseau de phishing conçu avec l’intelligence artificielle

Lorsque son infrastructure n’est pas utilisée à des fins d’espionnage, Jewelbug l’emploie dans des campagnes de fraude financière. Le groupe aurait créé des centaines de plateformes d’échange de cryptomonnaies contrefaites et des milliers de sites consacrés aux cryptomonnaies, au sport, aux paris et à d’autres sujets.

L’intelligence artificielle sert à produire rapidement le contenu de ces faux portails. Le réseau comprend 44 serveurs de gestion de contenu, depuis lesquels les opérateurs administrent les sites et les campagnes.

Pour attirer les visiteurs, Jewelbug recourt également à la fraude au clic et à des techniques de référencement abusif. Les portails utilisent un script PHP pour reconnaître les robots d’indexation des moteurs de recherche et leur présenter un contenu inoffensif. Les victimes ciblées voient quant à elles s’afficher le contenu frauduleux ou le logiciel malveillant.

Ce comportement, appelé cloaking, complique la détection des sites lors des contrôles automatisés. Un moteur de recherche peut recevoir une page apparemment normale, tandis qu’un utilisateur issu d’une campagne ciblée voit un faux service financier ou une mise à jour logicielle malveillante.

L’association avec PDF Viewer accroît les dommages potentiels. Le groupe peut attirer la victime vers un site contrefait, installer une extension malveillante, puis exploiter les cookies, les jetons et les données du navigateur pour accéder aux services déjà utilisés par l’utilisateur.

Le volume des données volées et la question de l’attribution

Les données collectées comprennent plus de 580 000 archives complètes de cookies de navigateur, 2 300 contenus intégraux de messages électroniques et plusieurs milliers d’identifiants. Ces données concernent des milliers de victimes distinctes.

Une archive complète de cookies peut offrir une visibilité bien plus large que le simple vol d’un mot de passe. Elle peut contenir des sessions encore valides, des identifiants d’authentification et des informations sur les activités de l’utilisateur dans les services web.

La double nature de Jewelbug complique l’attribution. Le groupe pourrait agir pour le compte d’une agence d’État, travailler de manière indépendante avant de revendre les informations à des interlocuteurs gouvernementaux, ou combiner ces deux approches.

Le recours à des prestataires externes peut accroître les capacités opérationnelles d’un État, mais comporte également des risques. Des opérateurs motivés par le profit peuvent appliquer des procédures moins rigoureuses, laisser davantage de traces et mener des activités criminelles indépendantes en parallèle des missions d’espionnage.

Aucun score CVSS ni aucune classification formelle de la gravité n’ont été communiqués. Il ne s’agit pas non plus d’une vulnérabilité logicielle associée à un CVE : rien n’indique que cette campagne ait été ajoutée au catalogue KEV de la CISA. Aucune date d’ajout au catalogue ni échéance de remédiation ne sont donc disponibles pour ce cas.

Mesures de protection pour les entreprises et les administrations

Les organisations devraient supprimer les extensions de navigateur non autorisées et gérer de manière centralisée les autorisations accordées aux modules complémentaires. Les installations inattendues ou les demandes de mise à jour d’Adobe Flash et d’autres logiciels doivent également faire l’objet de contrôles.

Après une compromission potentielle, il est nécessaire d’invalider les cookies et les jetons, de forcer le renouvellement des sessions et de vérifier les accès récents à la messagerie web. La recherche d’Antino, de ClientKing, de PDF Viewer et de références à XG-Web peut fournir des éléments utiles à l’analyse, même si aucune signature antivirus ni aucun IOC technique complet n’ont été publiés.

Les plateformes d’hébergement mutualisées doivent limiter les accès en écriture et journaliser chaque modification apportée aux portails publics. Les scripts PHP insérés sans autorisation, les changements de contenu et les comportements différents selon qu’il s’agit de robots d’indexation ou d’utilisateurs doivent être examinés immédiatement.

Pour les transactions en cryptomonnaies, l’adresse du portefeuille doit être vérifiée via un canal distinct avant confirmation. Il ne suffit pas de contrôler ce qui s’affiche dans le navigateur, en particulier lorsqu’une extension peut modifier dynamiquement le contenu visible.

Enfin, les équipes de sécurité devraient surveiller les domaines de phishing, les campagnes de référencement artificiel et les sites dont le contenu varie selon l’identité du visiteur. Dans le cas de Jewelbug, une même chaîne opérationnelle peut en effet assurer l’hameçonnage, la compromission du navigateur, le vol de sessions et l’exfiltration d’informations stratégiques.