HUNAN PROVINCE / LONDON (IT BOLTWISE) – Der mit China verknüpfte Threat-Actor Jewelbug soll Spionage gegen Regierungen und Militär sowie gewinnorientierten Krypto-Betrug aus derselben Infrastruktur betreiben. Kernstück ist die browserzentrierte Plattform XG-Web, die einen kompromittierten Browser in einen Fernzugriffs- und Exfiltrationskanal verwandelt. Laut den vorliegenden Analysen rotieren die Angreifer ihre Command-and-Control-Komponenten in festen Abständen und nutzen öffentlich zugängliche Dienste zum Hosten verschleierter Payloads. Besonders kritisch ist dabei eine bösartige Browser-Erweiterung, die weitreichende Berechtigungen erhält und Cookies, Anmeldedaten und sogar Clipboard-Inhalte missbrauchen kann.
Der Fall Jewelbug zeigt sehr deutlich, wie fließend die Grenzen zwischen professioneller Cyber-Spionage und klassischem Cybercrime geworden sind. Laut der Analyse eines Security-Teams wurde der Akteur als „China-linked“ eingeordnet und gleichzeitig mit Operationen in Verbindung gebracht, die sowohl ausländische Regierungs- und Militärziele adressieren als auch Krypto-User gezielt für finanzielle Zwecke angreifen sollen. Auffällig ist dabei die interne Konsistenz: Beide Missionen sollen aus einem gemeinsamen Steuer- und Bereitstellungssystem heraus laufen, statt getrennte Werkzeuge für Spionage und Betrug zu verwenden. Genau diese Wiederverwendung macht die Verteidigung schwieriger, weil Sicherheitsmaßnahmen, die nur einen Teil des Taktik-Sets abdecken, im anderen Teil trotzdem durchschlagen können.
Technisch basiert das Setup auf XG-Web, einer browserzentrierten Remote-Access- und Informationsdiebstahl-Plattform, die „einen Opferbrowser in einen vollwertigen Remote-Control-Kanal“ verwandeln soll. Die Plattform wird als React-Panel auf einem Node.js-Backend beschrieben, dazu kommt eine MySQL-Datenhaltung für das Management und die Listen kompromittierter Systeme. Besonders relevant für den Alltag von SOC-Teams ist, wie dynamisch die Angreifer ihre Infrastruktur betreiben: Der Dienst nutzt laut Beschreibung einen geplanten Job, um die eigenen Command-and-Control-Ressourcen im Abstand von 12 Stunden gegen VirusTotal-Ansichten zu prüfen, damit Hostnames und Pfade schneller rotiert werden können. Ergänzend sollen die Angreifer obfuscated Payloads über Google-Docs-Strukturen bereitstellen, die von Implantaten abgerufen und ausgeführt werden, während die Payloads per XOR mit einem zufällig gewählten Schlüssel so verschlüsselt sind, dass sich zwischen zwei Builds keine identischen Datenmuster ergeben.
Aus der Perspektive der Angriffsflächen ist vor allem die Primärkomponente der Kampagnen entscheidend: eine bösartige Browser-Erweiterung mit dem Namen „PDF Viewer“, die sowohl in Google Chrome als auch in Mozilla Firefox laufen kann. Nach der Installation fordert sie ein breites Paket gefährlicher Rechte an – von Cookie-Zugriff über Debugging- und Native-Messaging-Fähigkeiten bis hin zum Ausführen von Skripten und dem Abfangen von Webrequests. Damit kann die Erweiterung auf mehreren Ebenen Daten sammeln: Sie soll Login-Formulare auslesen, Cookies und Browserhistorie erheben, Bookmarks sowie Screenshots erfassen und außerdem Webdatenströme überwachen. In der Praxis bedeutet das, dass ein einziger kompromittierter Browser nicht nur Session-Informationen preisgibt, sondern oft auch den Weg zu weiterem Zugriff ebnen kann, weil Tokens und Nutzerdaten unmittelbar für nächste Angriffsphasen nutzbar werden.
Auch der Schritt aus dem Browser-Sandboxing heraus ist in der Beschreibung klar adressiert. Die Erweiterung soll über eine Windows-Helferkomponente kommunizieren, die als Native-Messaging-Host unter dem irreführenden Namen „com.microsoft.runedge“ registriert ist. Diese Komponente führt laut Analyse Befehle über den Windows-Befehlinterpreter aus und gibt die Ergebnisse zurück an das Panel. Zusätzlich taucht ein Clipboard-Mechanismus auf, der wie ein „Clipper“ arbeitet: Ein kopierter Krypto-Wallet-Address-Text soll dabei durch eine Angreiferadresse ersetzt werden, wodurch Transaktionen umgeleitet werden können. Gleichzeitig wird aber betont, dass während der beschriebenen Kampagnenphase keine entsprechenden Ersatzregeln ausgelöst wurden, was darauf hindeutet, dass der Clipser entweder zeitlich anders getaktet war oder in der beobachteten Phase nicht aktiv ausgenutzt wurde. Für Unternehmen heißt das: Auch wenn ein sichtbares Fehlverhalten (z. B. ein kompletter Address-Replace) ausbleibt, bleiben die exfiltrationsrelevanten Fähigkeiten der Erweiterung bestehen.
Parallel dazu wird das Ökosystem der Implantate in mehreren Schichten beschrieben: Neben browserbasierten Komponenten kommen Windows-Backdoors wie „Antino“ vor, etwa als zweistufige Deliveries über bösartige HTA-Downloader, die mit aktuellen geopolitischen Ereignisbezügen verknüpft sind, oder über gefälschte Adobe-Flash- bzw. Installationsangebote. Für die C&C-Kommunikation wird in der Beschreibung zudem die Microsoft-Graph-API erwähnt, was die Ausleitung in Richtung normal wirkendem Telemetrieverhalten begünstigen soll. Auf Linux-Seite soll ein Rust-Implantat namens „ClientKing“ Angriffe auf Server und Router abdecken und mehrere C&C-Kanäle nutzen, darunter auch einen DNS-Tunnel, um Interaktivität, SOCKS-Pivoting und sogar das Laden von Kernel-Modulen direkt aus dem Speicher zu ermöglichen. Daneben wird von einer Kernel-Modul-Rootkit-Komponente und einem manipulierten Authentifizierungsmodul berichtet, das in su- und sudo-Pfade eingehängt sein soll, um Credentials abzugreifen.
Besonders weitreichend wirkt die Spionagekampagne, die als „largest espionage operation“ des Akteurs charakterisiert wird: Dabei soll ein Webhosting-Provider kompromittiert worden sein, um JavaScript-Code in eine verbreitete Webmail-Installation einzuschleusen, die für mehrere Ministerien in einem Land im Mittleren Osten relevant ist. Der „watering hole“-Angriff soll in insgesamt 15 Government-Webmail-Tenants ausgeführt worden sein, wobei das schädliche Skript auf der Login-Seite sowie in jeder Mailbox-Ansicht aktiviert werden sollte. Ziel der Exfiltration war dabei offenbar das Abgreifen von Cookies über eine WebSocket-Verbindung, plus eine nächste Stufe, die per Checks prüft, ob die Ziel-Mailadresse zu den angepeilten Regierungsdomänen gehört, ob das Konto noch nicht kompromittiert wurde und ob das System Windows nutzt. Wer auf die gefälschte Adobe-Flash-Aktualisierung klickte, erhielt demnach „Antino“ als zweiten Stage-Executable von einer Domain, die mit „microsoft-flash[.]com“ angegeben wird; anschließend soll das Setup auch die „PDF Viewer“-Erweiterung nachladen und Registry-Einträge anpassen, damit die Erweiterung beim nächsten Browserstart automatisch aktiv wird.
Die beschriebenen Größenordnungen unterstreichen, warum „Targeting“ und „Compromise“ in solchen Kampagnen oft schwer auseinanderzuhalten sind: Laut der Auswertung sollen über eine Million Implant-Check-in-Zeilen, mehr als 580.000 gestohlene Browser-Cookies, mehrere tausend abgegriffene Credentials und mindestens 2.300 exfiltrierte E-Mail-Inhalte zusammengekommen sein. Zusätzlich werden etwa 1,1 Millionen Geolokationsereignisse gegen rund 4.300 Quell-IP-Adressen genannt, darunter ca. 87.200 Verbindungen aus einem südostasiatischen Land (mit Fokus auf Staatstelefonnets und Militärnetzwerke), ca. 53.100 aus einem mittleren ostasiatischen Land sowie weitere Verbindungen aus einer zweiten südostasiatischen Region, einschließlich Infrastruktur aus dem Umfeld staatlicher Ministerien. Für die Krypto-„Financial“-Seite wird zudem beschrieben, dass der finanzielle Zweig über eine als chinesisches Unternehmen registrierte Struktur abgewickelt worden sein soll, die gegenüber Dritten eine SEO-Dienstleistung bewirbt, intern aber SEO-Poisoning und Click-Fraud mit KI-generierten Fake-Seiten auslösen könnte, die sich als OKX- und Binance-nahe Austauschseiten ausgeben.
In der Summe liefert Jewelbug damit ein Lehrstück darüber, wie Angreifer heute unterschiedliche Ziele mit einer gemeinsamen technischen „Basis“ bedienen. Statt die Spionage-Infrastruktur zu kapseln, wird sie offenbar für Betrugsoperationen mitgenutzt; das erklärt auch, warum Journalberichte über „Hack-for-hire“ hier nicht nur als Schlagwort taugen, sondern als funktionales Modell: Dieselben Werkzeuge können, je nach Zielgruppe und Social-Engineering-Mechanik, sowohl Informationen aus Regierungsumgebungen als auch Daten aus Krypto-User-Kontexten abziehen. Für Unternehmen folgt daraus eine pragmatische Sicherheitsforderung: Browser-Erweiterungen und Native-Messaging-Pfade müssen als zusammenhängende Angriffsachse betrachtet werden, und verhaltensbasierte Kontrollen (z. B. ungewöhnliche WebSocket-Exfiltration, auffällige native host registrations oder Browser-weitreichende Permission-Profile) sollten nicht nur bei einzelnen Kampagnen, sondern in der Breite automatisiert überwacht werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Jewelbug nutzt XG-Web: Browser-Fernzugriff für Spionage und Krypto-Betrug" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Jewelbug nutzt XG-Web: Browser-Fernzugriff für Spionage und Krypto-Betrug" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Jewelbug nutzt XG-Web: Browser-Fernzugriff für Spionage und Krypto-Betrug« bei Google Deutschland suchen, bei Bing oder Google News!