Jewelbug dùng XG-Web cho gián điệp và gian lận tiền mã hóa
"Broadcom Symantec and Carbon Black report that the China-linked threat actor Jewelbug used the XG-Web browser-based remote-access framework to conduct government and military espionage while also running cryptocurrency fraud operations. The campaign involved a malicious browser extension, Windows helper, and additional implants for Windows, Linux, and routers; no CVE was cited, and the described mitigations focused on infrastructure rotation, payload obfuscation, and abuse of public services rather than patching a specific vulnerability."
Rủi ro gián điệp mạng, đánh cắp thông tin xác thực và chiếm quyền điều khiển trình duyệt; có thể mở rộng sang hạ tầng nội bộ qua implant cho Windows/Linux/router.
Có thể gây rò rỉ dữ liệu nhạy cảm, gián đoạn điều tra an ninh và phát sinh chi phí ứng phó; hoạt động gian lận tiền mã hóa cũng làm tăng nguy cơ lạm dụng thương hiệu và mất niềm tin người dùng.
Nhóm đe dọa liên kết với Trung Quốc được theo dõi là Jewelbug đã bị ghi nhận thực hiện đồng thời hai chiến dịch: gián điệp mạng nhắm vào chính phủ và quân đội, và gian lận tiền mã hóa nhằm vào người dùng nói tiếng Trung. Theo Broadcom Symantec và Carbon Black, cả hai hoạt động đều được điều phối từ một bảng điều khiển duy nhất là XG-Web.
Bộ công cụ của nhóm gồm tiện ích mở rộng trình duyệt độc hại, Windows helper, cùng các implant cho Windows, Linux và router. Tiện ích giả mạo PDF Viewer có thể chạy trên Chrome và Firefox, yêu cầu nhiều quyền nhạy cảm để đọc cookie, theo dõi web request, chèn script và thu thập mật khẩu, lịch sử duyệt web và ảnh chụp màn hình. Một mô-đun clipboard còn có thể thay địa chỉ ví tiền mã hóa khi sao chép, dù chưa ghi nhận việc kích hoạt trong giai đoạn quan sát.
Nhóm cũng dùng Google Docs công khai để lưu payload đã làm rối mã, và ngụy trang hostname C&C giống các dịch vụ hợp pháp như Google Fonts. Với môi trường doanh nghiệp, rủi ro chính là mất kiểm soát trình duyệt, rò rỉ thông tin xác thực và mở rộng xâm nhập sang hạ tầng nội bộ.
Khuyến nghị: tăng giám sát tiện ích mở rộng trình duyệt, kiểm tra native messaging host, chặn truy cập tới C&C bất thường, và rà soát các tải xuống giả mạo từ cổng phân phối phần mềm hoặc sàn giao dịch.