Jewelbug, la squadra APT che unisce spionaggio statale e furto di criptovalute

Un’unica infrastruttura per due obiettivi

Ricercatori di Symantec hanno individuato Jewelbug, un gruppo APT cinese apparentemente organizzato come una struttura mercenaria. L’attività, rilevata il 13 agosto 2026, combina operazioni di cyber-spionaggio contro governi e aziende con campagne su larga scala per sottrarre criptovalute e credenziali.

Il gruppo avrebbe usato la stessa infrastruttura tecnica per entrambe le attività. Al centro c’è XG-Web, una piattaforma di comando e controllo accessibile tramite un’interfaccia simile a quella di un servizio SaaS. Il pannello consente di generare codice malevolo, amministrare i sistemi compromessi, consultare i dati rubati e coordinare gli operatori.

L’organizzazione interna appare strutturata. XG-Web prevede account con ruoli diversi, tra cui superadmin, admin e utenti ordinari. Gli operatori meno privilegiati possono vedere soltanto le vittime compromesse direttamente da loro. Nonostante la scala delle campagne, Symantec ritiene che Jewelbug sia una squadra relativamente piccola.

Il collegamento con interessi statali cinesi è considerato probabile sulla base della presunta localizzazione degli operatori e degli obiettivi selezionati. Non è però stata dimostrata una relazione diretta con il governo della Repubblica Popolare Cinese.

Antino, ClientKing e l’estensione PDF Viewer

Jewelbug utilizza almeno tre componenti principali. Antino è una backdoor per Windows, impiegata soprattutto nelle operazioni contro enti governativi e organizzazioni strategiche. ClientKing svolge un ruolo analogo sui sistemi Linux.

Il terzo strumento, denominato PDF Viewer, è un’estensione browser dannosa che non offre una reale funzione di visualizzazione dei documenti. Al contrario, richiede tutte le autorizzazioni disponibili e può accedere a una quantità molto ampia di informazioni.

L’estensione è in grado di sottrarre cookie, token di sessione, cronologia, schermate, traffico e altri dati gestiti dal browser. Può inoltre iniettare JavaScript arbitrario nelle pagine visitate e interagire con il browser della vittima come se fosse controllato localmente dall’attaccante.

Queste capacità possono consentire di aggirare, almeno in determinati scenari, l’autenticazione a più fattori. Un token di sessione rubato può infatti permettere l’accesso a un account già autenticato senza ripetere necessariamente il secondo fattore.

PDF Viewer contiene anche una funzione particolarmente rischiosa per chi usa servizi finanziari online: può sostituire silenziosamente l’indirizzo del wallet del destinatario con quello controllato dall’attaccante durante una transazione. Secondo la ricerca, questa possibilità non sarebbe ancora stata sfruttata dagli operatori osservati.

Il rischio resta comunque concreto. Un’estensione capace di modificare il contenuto visualizzato nel browser può alterare l’indirizzo di destinazione mentre l’utente ritiene di stare autorizzando un pagamento legittimo.

Il caso del governo mediorientale

Una delle operazioni più significative ha colpito un governo del Medio Oriente. Jewelbug non ha attaccato separatamente ogni agenzia pubblica: ha compromesso una piattaforma condivisa di web hosting gestita dal provider statale di telecomunicazioni insieme all’agenzia nazionale per i servizi di rete.

Dopo avere ottenuto accesso in scrittura alla piattaforma webmail, gli attaccanti hanno inserito uno script nelle pagine del servizio. Quando un dipendente accedeva alla posta elettronica, lo script registrava la vittima su XG-Web e sottraeva i cookie di autenticazione.

La pagina mostrava quindi un falso aggiornamento di Adobe Flash. Dietro quella richiesta apparentemente legittima venivano installati Antino e PDF Viewer.

La tecnica sfrutta un punto debole organizzativo oltre che tecnologico: una piattaforma condivisa può diventare un moltiplicatore d’impatto. La compromissione di un solo servizio ha infatti offerto un percorso verso numerosi dipendenti e agenzie governative.

Altre campagne hanno preso di mira strutture di intelligence della marina, della polizia e dell’esercito nel Sud-est asiatico. Tra gli obiettivi figura anche un importante produttore statunitense attivo nei settori industriale e aerospaziale, insieme ad altre grandi istituzioni con caratteristiche analoghe.

Una rete di phishing costruita con l’intelligenza artificiale

Quando l’infrastruttura non viene usata per lo spionaggio, Jewelbug la impiega per campagne di frode finanziaria. Il gruppo avrebbe creato centinaia di exchange di criptovalute contraffatti e migliaia di siti dedicati a criptovalute, sport, scommesse e altri argomenti.

L’intelligenza artificiale viene usata per produrre rapidamente i contenuti dei portali falsi. La rete comprende 44 server di content management, attraverso i quali gli operatori amministrano i siti e le campagne.

Per attirare visitatori, Jewelbug ricorre anche al click fraud e a tecniche SEO abusive. I portali usano uno snippet PHP per riconoscere i crawler dei motori di ricerca e mostrare loro contenuti innocui. Alle vittime selezionate viene invece presentato il materiale fraudolento o il malware.

Questo comportamento, noto come cloaking, rende più difficile individuare i siti durante le verifiche automatizzate. Un motore di ricerca può ricevere una pagina apparentemente normale, mentre un utente proveniente da una campagna mirata visualizza un falso servizio finanziario o un aggiornamento software dannoso.

La combinazione con PDF Viewer amplia il danno potenziale. Il gruppo può attirare la vittima su un sito contraffatto, installare un’estensione malevola e poi usare cookie, token e dati browser per accedere a servizi già utilizzati dall’utente.

La quantità dei dati sottratti e la questione dell’attribuzione

Il materiale raccolto comprende oltre 580.000 archivi completi di cookie del browser, 2.300 corpi integrali di messaggi e-mail e diverse migliaia di credenziali. I dati si riferiscono a migliaia di vittime distinte.

Un archivio completo di cookie può offrire una visibilità molto più ampia rispetto alla semplice sottrazione di una password. Può contenere sessioni ancora valide, identificatori di autenticazione e informazioni sulle attività svolte dall’utente nei servizi web.

La doppia natura di Jewelbug rende complessa l’attribuzione. Il gruppo potrebbe operare su incarico di un’agenzia statale, lavorare autonomamente per vendere in seguito le informazioni a interlocutori governativi oppure combinare le due modalità.

L’impiego di contractor esterni può aumentare la capacità operativa di uno Stato, ma introduce anche rischi. Operatori motivati dal profitto possono avere procedure meno rigorose, lasciare più tracce e svolgere attività criminali indipendenti accanto alle missioni di spionaggio.

Non è riportato alcun punteggio CVSS, né una classificazione formale della gravità. Non si tratta inoltre di una vulnerabilità software associata a un CVE: non è noto che questa campagna sia stata inserita nel catalogo KEV della CISA. Di conseguenza non risultano, per questo caso, una data di ingresso nel catalogo o una scadenza di remediation.

Contromisure per aziende e amministrazioni

Le organizzazioni dovrebbero rimuovere le estensioni browser non autorizzate e gestire centralmente le autorizzazioni concesse ai componenti aggiuntivi. Vanno controllate anche installazioni inattese o richieste di aggiornamento di Adobe Flash e di altri software.

Dopo una possibile compromissione è necessario invalidare cookie e token, forzare il rinnovo delle sessioni e verificare gli accessi recenti alla webmail. La ricerca di Antino, ClientKing, PDF Viewer e riferimenti a XG-Web può fornire elementi utili all’analisi, anche se non sono state rese note firme antivirus o IOC tecnici completi.

Le piattaforme di hosting condivise devono limitare gli accessi in scrittura e registrare ogni modifica ai portali pubblici. Script PHP inseriti senza autorizzazione, cambiamenti nei contenuti e comportamenti differenti verso crawler e utenti meritano un controllo immediato.

Per le transazioni in criptovaluta, l’indirizzo del wallet dovrebbe essere verificato su un canale separato prima della conferma. Non basta controllare ciò che appare nella pagina del browser, soprattutto quando un’estensione può modificare dinamicamente il contenuto visualizzato.

Infine, i team di sicurezza dovrebbero monitorare domini di phishing, campagne SEO artificiali e siti il cui contenuto cambia in base all’identità del visitatore. Nel caso di Jewelbug, la stessa filiera può infatti occuparsi dell’adescamento, della compromissione del browser, del furto di sessioni e dell’esfiltrazione di informazioni strategiche.