Les recherches de Symantec ont révélé que le groupe de pirates Jewelbug avait compromis des comptes de messagerie appartenant à 15 organismes gouvernementaux dans le cadre d’une campagne visant un pays du Moyen-Orient, tout en menant parallèlement de vastes opérations d’escroquerie liées aux cryptomonnaies. Selon les chercheurs, la combinaison de l’espionnage et de la génération de revenus issus de la cybercriminalité indique que le groupe pourrait également fonctionner selon un modèle de piratage contre rémunération.
Jewelbug est également connu sous les noms Earth Alux et REF7707. Le groupe a ciblé des organismes gouvernementaux et militaires ainsi que des secteurs essentiels, notamment la défense, les télécommunications, l’éducation et l’aviation. Symantec a constaté que les opérations d’espionnage et de fraude financière étaient gérées depuis un même panneau de contrôle, révélant des liens entre l’infrastructure et les opérations utilisées dans les deux activités.
Compromission d’une plateforme de messagerie gouvernementale partagée
Les attaquants, que Symantec décrit comme un groupe basé en Chine, ont obtenu un accès en écriture à une plateforme d’hébergement partagée gérée par l’opérateur de télécommunications public et l’agence nationale des services. Grâce à l’accès à l’installation de messagerie utilisée par plusieurs ministères et agences, ils ont injecté un même script malveillant dans le modèle partagé.
Le code malveillant s’exécutait lors de la connexion et sur les pages des boîtes de réception dans plus de 15 domaines gouvernementaux, et ouvrait une connexion WebSocket avec un serveur de commande et de contrôle. Il volait également les cookies de messagerie et extrayait l’adresse de l’utilisateur afin de déterminer si celui-ci appartenait à un domaine gouvernemental ciblé.
Lorsque le système identifiait une cible de valeur, il affichait une fausse fenêtre de mise à jour d’Adobe Flash. L’installation de cette mise à jour entraînait le téléchargement de la porte dérobée Antino sur les appareils Windows, ainsi que d’outils pour navigateur. Le groupe utilise également le framework XG-Web pour l’accès à distance, le vol de données, la gestion des campagnes et les informations sur les victimes.
Logiciels de vol de sessions et de données
Jewelbug distribue le logiciel Antino au moyen de fichiers HTA malveillants et de faux installateurs d’Adobe Flash et d’Adobe, puis l’utilise pour télécharger des charges utiles supplémentaires. Celles-ci comprennent une extension de navigateur malveillante nommée PDF Viewer, compatible avec Chrome et Firefox, capable de voler les cookies et les identifiants, d’intercepter le trafic, d’injecter du JavaScript et de fournir des fonctionnalités de contrôle à distance du navigateur.
Symantec a retracé les infections par Antino jusqu’à l’infrastructure du groupe, puis a obtenu une visibilité sur la plateforme de gestion de la commande et du contrôle, la base de données, les journaux des serveurs, le code source et les fichiers des opérateurs. Les données ont révélé plus d’un million d’enregistrements de communications d’implants avec la base de victimes, plus de 580 000 cookies volés, des milliers d’identifiants, ainsi que plus de 2 300 e-mails exfiltrés.
Ciblage gouvernemental et fraude automatisée
Les opérations d’espionnage se sont étendues à des institutions gouvernementales et militaires du Moyen-Orient, d’Asie du Sud-Est et d’Asie du Sud. Les serveurs opérationnels ont enregistré environ 1,1 million d’événements de géolocalisation provenant de près de 4 300 adresses IP sources, dont environ 87 200 connexions depuis un pays d’Asie du Sud-Est visant des réseaux gouvernementaux de télécommunications et militaires, environ 53 100 connexions depuis un pays du Moyen-Orient et environ 15 000 connexions depuis un deuxième pays d’Asie du Sud-Est.
Quant à l’activité financière, elle reposait sur des articles générés par l’intelligence artificielle afin d’attirer les visiteurs vers de faux sites de trading de cryptomonnaies, ainsi que sur des robots destinés à cliquer et à manipuler le classement des résultats de recherche. Selon Symantec, le groupe collecte automatiquement les mots-clés, crée des milliers de fausses pages de téléchargement à l’aide de l’intelligence artificielle, puis les diffuse au moyen d’une flotte de 44 serveurs de gestion de contenu et de centaines de domaines ressemblant à ceux des sites OKX et Binance.
Les autres leurres comprenaient des sites de paris sportifs, des portails de streaming en direct piratés et des escroqueries usurpant l’identité d’enquêteurs privés. Symantec a déclaré avoir un haut niveau de confiance dans l’attribution des activités rémunérées à une entreprise chinoise qui fait la promotion de services d’optimisation pour les moteurs de recherche.
Outils multiples pour les systèmes et l’infrastructure
Jewelbug utilise également l’outil ClientKing développé en Rust, qui cible les serveurs Linux, les appareils ARM64 et les routeurs ASUS. L’outil prend en charge l’exécution de commandes, la création d’un proxy SOCKS, un tunnel DNS et le chargement de modules noyau en mémoire. Les attaquants ont également hébergé des charges utiles déguisées sur des documents Google publics, ce qui a contribué à faire paraître le trafic malveillant similaire aux communications légitimes avec les services Google.
Symantec a publié des indicateurs de compromission liés à l’activité observée, ainsi qu’un rapport technique plus détaillé consacré aux outils, aux méthodes et aux opérations financières de Jewelbug, ainsi qu’à l’infrastructure utilisée dans les attaques.