Symantecの調査により、ハッキンググループJewelbugが、中東のある国を標的としたキャンペーンの一環として、15の政府機関に属するメールアカウントを侵害していたことが明らかになった。一方で同グループは、暗号資産に関連する大規模な詐欺活動も並行して運営していた。スパイ活動とサイバー犯罪による収益化を組み合わせていることから、同グループは金銭目的のハッキングモデルでも活動している可能性があると研究者らは指摘している。
Jewelbugは、Earth AluxおよびREF7707という名称でも知られており、政府機関、軍事機関、防衛、通信、教育、航空などの重要分野を標的としてきた。Symantecは、スパイ活動と金銭的詐欺の両方が単一の管理パネルから運営されていたことを確認し、両活動で使用されたインフラストラクチャーと作戦の関連性を明らかにした。
共有政府メールプラットフォームの侵害
Symantecが中国を拠点とするグループと説明する攻撃者らは、国営通信会社と国家サービス機関が運営する共有ホスティングプラットフォームに対する書き込み権限を取得した。複数の省庁や機関が使用するメール環境にアクセスし、共有テンプレート内に単一の悪意あるスクリプトを埋め込んだ。
悪意あるコードは、15以上の政府ドメインにわたるログイン時およびメールボックスのページで実行され、コマンド・アンド・コントロールサーバーとのWebSocket接続を確立した。また、メールのCookieを窃取し、ユーザーのアドレスを抽出して、そのユーザーが標的となった政府ドメインに属しているかどうかを判定した。
システムが価値の高い標的を認識すると、偽のAdobe Flash更新ウィンドウを表示した。この更新プログラムをインストールすると、Windows端末にAntinoバックドアとブラウザー用ツールがダウンロードされた。同グループは、リモートアクセス、データ窃取、キャンペーン管理、被害者情報の管理にXG-Webフレームワークも使用している。
セッションとデータを窃取するマルウェア
Jewelbugは、悪意あるHTAファイルや偽のAdobe FlashおよびAdobeインストーラーを介してAntinoを配布し、それらを使って追加のペイロードをダウンロードする。その中にはPDF Viewerという悪意あるブラウザー拡張機能があり、ChromeとFirefoxで動作し、Cookieや認証情報の窃取、通信の傍受、JavaScriptのインジェクション、ブラウザー機能のリモート利用が可能である。
SymantecはAntinoの感染を同グループのインフラストラクチャーまで追跡し、コマンド・アンド・コントロール管理プラットフォーム、データベース、サーバーログ、ソースコード、オペレーターのファイルを確認した。データには、被害者データベースへのインプラント接続に関する100万件を超える記録、58万件を超える盗難Cookie、数千件の認証情報、さらに抽出された2300通を超えるメールが含まれていた。
政府機関の標的化と自動化された詐欺
スパイ活動は、中東、東南アジア、南アジアの政府機関および軍事機関に及んだ。運用サーバーには、約4300個の送信元IPアドレスから約110万件のジオロケーション判定イベントが記録されていた。その中には、東南アジアのある国からの約8万7200件の接続が含まれており、政府の通信ネットワークおよび軍事ネットワークを標的としていた。また、中東のある国から約5万3100件、東南アジアの別の国から約1万5000件の接続があった。
金銭目的の活動では、AIが生成した記事を利用して偽の暗号資産取引サイトへ訪問者を誘導するとともに、クリックや検索結果の順位を操作するボットを使用していた。Symantecによると、同グループはキーワードを自動的に収集し、AIを使って数千件の偽ダウンロードページを作成したうえで、44台のコンテンツ管理サーバーと、OKXおよびBinanceのサイトに似せた数百のドメインから成るフリートを通じて公開していた。
その他のおとりには、スポーツ賭博サイト、海賊版ライブストリーミングポータル、私立探偵を装う詐欺が含まれていた。Symantecは、金銭目的で行われた活動について、SEOサービスを公表している中国企業への帰属に高い確信を持っていると述べた。
システムとインフラストラクチャー向けの多様なツール
Jewelbugは、Rustで開発されたClientKingツールも使用しており、Linuxサーバー、ARM64デバイス、ASUSルーターを標的としている。このツールは、コマンド実行、SOCKSプロキシの作成、DNSトンネル、カーネルモジュールのメモリ内ロードに対応している。また攻撃者は、一般公開されているGoogleドキュメント上に難読化したペイロードをホストし、悪意ある通信をGoogleサービスとの正規の通信に見せかけることに役立てていた。
Symantecは、確認された活動に関連する侵害指標と、Jewelbugのツール、手法、作戦、攻撃で使用されたインフラストラクチャーおよび金銭活動をさらに詳しく扱った、より詳細な技術報告書を公開した。