Pesquisas da Symantec revelaram que o grupo de hackers Jewelbug invadiu contas de e-mail pertencentes a 15 órgãos governamentais como parte de uma campanha contra um país do Oriente Médio, enquanto administrava paralelamente operações amplas de fraude relacionadas a criptomoedas. A combinação de espionagem e geração de receita com crimes cibernéticos indica que o grupo também pode operar com um modelo de hacking por encomenda, segundo os pesquisadores.
O Jewelbug também é conhecido pelos nomes Earth Alux e REF7707, e já atacou órgãos governamentais e militares e setores essenciais, incluindo defesa, telecomunicações, educação e aviação. A Symantec constatou que as operações de espionagem e fraude financeira eram administradas a partir de um único painel de controle, revelando a interconexão da infraestrutura e das operações utilizadas nas duas atividades.
Invasão de uma plataforma compartilhada de e-mail governamental
Os invasores, descritos pela Symantec como um grupo sediado na China, obtiveram permissão de escrita em uma plataforma de hospedagem compartilhada administrada pela empresa estatal de telecomunicações e pela agência nacional de serviços. Por meio do acesso à instalação de e-mail utilizada por vários ministérios e agências, implantaram um único script malicioso no modelo compartilhado.
O script malicioso era executado no login e nas páginas das caixas de entrada em mais de 15 domínios governamentais, abrindo uma conexão WebSocket com um servidor de comando e controle. Ele também roubava os cookies do e-mail e extraía o endereço do usuário para determinar se ele pertencia a um domínio governamental visado.
Quando o sistema identificava um alvo de alto valor, exibia uma janela falsa de atualização do Adobe Flash. A instalação dessa atualização baixava o backdoor Antino para dispositivos Windows, além de ferramentas para o navegador. O grupo também utiliza o framework XG-Web para acesso remoto, roubo de dados, gerenciamento de campanhas e informações sobre as vítimas.
Malware para roubo de sessões e dados
O Jewelbug distribui o malware Antino por meio de arquivos HTA maliciosos e instaladores falsos do Adobe Flash e da Adobe, usando-os depois para baixar cargas adicionais. Entre elas está uma extensão maliciosa de navegador chamada PDF Viewer, que funciona no Chrome e no Firefox e pode roubar cookies e credenciais, interceptar tráfego, injetar JavaScript e permitir funções remotas do navegador.
A Symantec rastreou as infecções por Antino até a infraestrutura do grupo e, em seguida, obteve visibilidade da plataforma de gerenciamento de comando e controle, do banco de dados, dos logs dos servidores, do código-fonte e dos arquivos dos operadores. Os dados mostraram mais de um milhão de registros de comunicações de implantes com a base de vítimas, mais de 580 mil cookies roubados e milhares de credenciais, além de mais de 2.300 mensagens de e-mail extraídas.
Alvos governamentais e fraude automatizada
As operações de espionagem se estenderam a instituições governamentais e militares no Oriente Médio, no Sudeste Asiático e no Sul da Ásia. Os servidores operacionais registraram cerca de 1,1 milhão de eventos de geolocalização provenientes de aproximadamente 4.300 endereços IP de origem, incluindo cerca de 87.200 conexões de um país do Sudeste Asiático que visaram redes governamentais de telecomunicações e militares, cerca de 53.100 conexões de um país do Oriente Médio e cerca de 15.000 conexões de um segundo país do Sudeste Asiático.
Já a atividade financeira baseava-se em artigos gerados por inteligência artificial para atrair tráfego para sites falsos de negociação de criptomoedas, além de bots para cliques e manipulação do posicionamento nos resultados de busca. Segundo a Symantec, o grupo coleta palavras-chave automaticamente, cria milhares de páginas falsas de download usando inteligência artificial e depois as publica por meio de uma frota composta por 44 servidores de gerenciamento de conteúdo e centenas de domínios semelhantes aos sites da OKX e da Binance.
Outras iscas incluíam sites de apostas esportivas, portais de transmissão ao vivo pirateados e fraudes que se passavam por investigadores particulares. A Symantec afirmou ter alta confiança na atribuição das atividades financeiramente motivadas a uma empresa chinesa que anuncia serviços de otimização para mecanismos de busca.
Ferramentas variadas para sistemas e infraestrutura
O Jewelbug também utiliza a ferramenta ClientKing, desenvolvida em Rust, que visa servidores Linux, dispositivos ARM64 e roteadores ASUS. A ferramenta oferece suporte à execução de comandos, à criação de um proxy SOCKS, a um túnel DNS e ao carregamento de módulos de kernel na memória. Os invasores também hospedaram cargas disfarçadas em documentos públicos do Google, o que ajudou a fazer com que o tráfego malicioso parecesse semelhante a comunicações legítimas com os serviços do Google.
A Symantec publicou indicadores de comprometimento associados à atividade observada, além de um relatório técnico mais detalhado que aborda as ferramentas, os métodos e as operações financeiras do Jewelbug e a infraestrutura utilizada nos ataques.