Forschungen von Symantec haben ergeben, dass die Hackergruppe Jewelbug im Rahmen einer Kampagne gegen ein Land im Nahen Osten E-Mail-Konten von 15 Regierungsstellen kompromittierte und gleichzeitig umfangreiche, mit Kryptowährungen verbundene Betrugsoperationen betrieb. Die Kombination aus Spionage und der Erzielung von Einnahmen aus Cyberkriminalität deutet den Forschern zufolge darauf hin, dass die Gruppe möglicherweise auch nach einem Modell des Hackings gegen Bezahlung arbeitet.
Jewelbug ist auch unter den Namen Earth Alux und REF7707 bekannt und hat Regierungs- und Militäreinrichtungen sowie kritische Sektoren ins Visier genommen, darunter Verteidigung, Telekommunikation, Bildung und Luftfahrt. Symantec stellte fest, dass die Spionage- und Finanzbetrugsoperationen über ein einziges Bedienfeld gesteuert wurden, wodurch die Verbindung zwischen der Infrastruktur und den für beide Aktivitäten verwendeten Abläufen sichtbar wurde.
Einbruch in eine gemeinsam genutzte Regierungs-Mailplattform
Die Angreifer, die Symantec als eine in China ansässige Gruppe beschreibt, erlangten Schreibberechtigungen auf einer gemeinsam genutzten Hosting-Plattform, die von einem staatlichen Telekommunikationsunternehmen und einer nationalen Dienstleistungsagentur betrieben wird. Über den Zugriff auf die von mehreren Ministerien und Behörden verwendete E-Mail-Installation schleusten sie ein einziges Skript in die gemeinsame Vorlage ein.
Der Schadcode wurde bei der Anmeldung und auf den Posteingangsseiten von mehr als 15 Regierungsdomains ausgeführt und öffnete über WebSocket eine Verbindung zu einem Command-and-Control-Server. Außerdem stahl er die E-Mail-Cookies und extrahierte die Benutzeradresse, um festzustellen, ob sie zu einer anvisierten Regierungsdomain gehörte.
Erkannte das System ein wertvolles Ziel, zeigte es ein gefälschtes Update-Fenster für Adobe Flash an. Die Installation dieses Updates führte zum Download der Antino-Backdoor auf Windows-Geräte sowie von Browser-Tools. Die Gruppe verwendet außerdem das XG-Web-Framework für den Fernzugriff, den Datendiebstahl, die Verwaltung von Kampagnen und Opferinformationen.
Software zum Diebstahl von Sitzungen und Daten
Jewelbug verbreitet die Antino-Software über schädliche HTA-Dateien und gefälschte Installationsprogramme für Adobe Flash und Adobe und verwendet sie anschließend zum Herunterladen weiterer Payloads. Dazu gehört eine schädliche Browser-Erweiterung namens PDF Viewer, die unter Chrome und Firefox funktioniert und Cookies sowie Zugangsdaten stehlen, Datenverkehr abfangen, JavaScript einschleusen und Browserfunktionen aus der Ferne bereitstellen kann.
Symantec verfolgte Antino-Infektionen bis zur Infrastruktur der Gruppe zurück und erhielt anschließend Einblick in die Command-and-Control-Verwaltungsplattform, die Datenbank, Serverprotokolle, den Quellcode und die Dateien der Betreiber. Die Daten zeigten mehr als eine Million Datensätze von Implantatverbindungen zur Opferdatenbank, mehr als 580.000 gestohlene Cookies, Tausende Zugangsdaten sowie über 2.300 extrahierte E-Mails.
Angriffe auf Regierungen und automatisierter Betrug
Die Spionageoperationen erstreckten sich auf Regierungs- und Militäreinrichtungen im Nahen Osten, in Südostasien und Südasien. Die Betriebsserver registrierten rund 1,1 Millionen Ereignisse zur Geolokalisierung von etwa 4.300 Quell-IP-Adressen, darunter rund 87.200 Verbindungen aus einem südostasiatischen Land, die auf staatliche Telekommunikations- und Militärnetzwerke abzielten, etwa 53.100 Verbindungen aus einem Land im Nahen Osten sowie rund 15.000 Verbindungen aus einem zweiten südostasiatischen Land.
Die Finanzaktivitäten stützten sich auf von künstlicher Intelligenz generierte Artikel, um Besucher auf gefälschte Websites für den Handel mit Kryptowährungen zu locken, sowie auf Bots zum Klicken und zur Manipulation der Platzierung in Suchergebnissen. Laut Symantec sammelt die Gruppe automatisch Schlüsselwörter, erstellt mithilfe künstlicher Intelligenz Tausende gefälschte Downloadseiten und verbreitet sie über eine Flotte von 44 Servern zur Verwaltung von Inhalten sowie Hunderte Domains, die den Websites von OKX und Binance ähneln.
Weitere Köder umfassten Websites für Sportwetten, Portale für raubkopierte Livestreams und Betrugsoperationen, bei denen sich die Täter als Privatdetektive ausgaben. Symantec erklärte, großes Vertrauen in die Zuordnung der finanziell motivierten Aktivitäten zu einem chinesischen Unternehmen zu haben, das Dienstleistungen zur Suchmaschinenoptimierung anbietet.
Mehrere Tools für Systeme und Infrastruktur
Jewelbug verwendet außerdem das in Rust entwickelte Tool ClientKing, das auf Linux-Server und ARM64-Geräte sowie ASUS-Router abzielt. Das Tool unterstützt die Ausführung von Befehlen, die Einrichtung eines SOCKS-Proxy, einen DNS-Tunnel und das Laden von Kernelmodulen in den Speicher. Zudem hosteten die Angreifer verschleierte Payloads in öffentlichen Google-Dokumenten, wodurch der schädliche Datenverkehr wie legitime Verbindungen zu Google-Diensten wirken konnte.
Symantec veröffentlichte mit den beobachteten Aktivitäten verbundene Kompromittierungsindikatoren sowie einen ausführlicheren technischen Bericht zu den Tools, Methoden und finanziellen Operationen von Jewelbug und der bei den Angriffen verwendeten Infrastruktur.