🌟 Atualização imperdível para quem gosta de estar bem informado!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O ator de ameaça ligado à China, conhecido como Jewelbug, foi observado realizando operações de espionagem cibernética visando governos e militares, ao mesmo tempo em que se envolveu em fraudes com criptomoedas.
“Ambas as missões são administradas a partir de um único painel de controle, XG-Web, uma estrutura de acesso remoto e roubo de informações centrada no navegador que transforma o navegador da vítima em um canal de controle remoto completo e chega a partir daí até o host e a rede interna por trás dele”, disse a equipe Symantec e Carbon Black Threat Hunter da Broadcom.
Jewelbug é avaliado como um grupo de hackers de aluguel com sede na China que executa operações paralelas, incluindo espionagem contra governos e militares em todo o Oriente Médio, Sudeste Asiático e Sul da Ásia, e um negócio de fraude de criptomoeda com fins lucrativos.
“O grupo desenvolveu cinco gerações de código de comando e controle (C&C) e uma família de implantes abrangendo navegadores, endpoints Windows, servidores Linux e dispositivos de rede, todos alimentando um único banco de dados de vítimas”, acrescentou Broadcom. “Esse conjunto de ferramentas serve duas missões: ataques de espionagem contra governos e militares estrangeiros e fraude criptográfica com fins lucrativos dirigida a vítimas de língua chinesa.”
Diz-se que pelo menos um dos operadores está vinculado a uma empresa registada com sede na província de Hunan. O JewelBug se sobrepõe a clusters de ameaças incluídos como CL-STA-0049 (Palo Alto Networks Unit 42), Earth Alux (Trend Micro) e REF7707 (Elastic Security Labs). Em outubro de 2025, o grupo de hackers foi atribuído a uma intrusão de cinco meses destinada a um provedor de serviços de TI russo para entregar malware capaz de interferir no funcionamento normal das ferramentas de segurança.
A Symantec disse que descobriu uma lista de campanhas após uma investigação de meses, com entradas destacando campanhas de espionagem dirigidas a organizações governamentais em todo o Oriente Médio e Sudeste Asiático, bem como mais de 90 endereços de e-mail policiais e governamentais no Sul da Ásia.
“O implante separado de Linux e roteador do grupo permite estender seu alcance à infraestrutura de rede, com algumas compilações configuradas para sinalizar através do proxy corporativo interno de um grande fabricante aeroespacial e industrial dos EUA”, observou.
Paralelamente, diz-se que o ator da ameaça realizou uma operação com motivação financeira direcionada a usuários de criptomoedas que falam chinês, usando portais falsos de download de exchanges. A presença de documentos falsos que se fazem passar por entidades governamentais de Taiwan sugere que a segmentação provavelmente também se estende a Taiwan.
No centro das operações está uma plataforma de acesso remoto e roubo de informações centrada no navegador, chamada XG-Web. Construída como um painel React sobre um back-end Node.js e um banco de dados MySQL, a ferramenta é descrita pelos desenvolvedores como uma plataforma de teste de penetração que faz uso de um trabalho agendado para verificar a infraestrutura C&C do próprio grupo em relação ao VirusTotal a cada 12 horas para rotação rápida.
O XG-Web também utiliza Google Docs públicos para hospedar cargas ofuscadas que são recuperadas e executadas por seus implantes. As cargas são codificadas em XOR com uma chave aleatória para garantir que não haja duas cargas idênticas. Os nomes de host C&C são disfarçados para imitar recursos comuns, como Google Fonts.
O principal implante escolhido é uma extensão de navegador maliciosa chamada "PDF Viewer", que pode ser executada no Google Chrome e no Mozilla Firefox. Uma vez instalado, ele solicita uma ampla gama de permissões perigosas para acessar cookies, o depurador e mensagens nativas, executar scripts, interceptar solicitações da web e monitorar downloads em todos os sites.
A extensão concede a capacidade de executar JavaScript arbitrário em qualquer página da web, interagir remotamente com o navegador da web e coletar credenciais conectando formulários de login, cookies, histórico de navegação, favoritos, capturas de tela, área de transferência e tráfego da web.
O módulo da área de transferência também funciona como um clipper, trocando qualquer endereço de carteira de criptomoeda copiado pelo de um invasor para redirecionar as transações. Dito isto, nenhuma regra de substituição de endereço foi acionada, indicando que a funcionalidade do clipper não foi utilizada durante o período da campanha.
“Para escapar da sandbox do navegador, a extensão conversou com um auxiliar do Windows registrado como host de mensagens nativo sob o nome enganoso com.microsoft.runedge, que executou comandos do operador por meio do interpretador de comandos do Windows e retornou a saída ao painel”, disseram Symantec e Carbon Black.
Algumas das outras ferramentas do arsenal do Jewelbug são as seguintes -
Antino, um backdoor do Windows fornecido por meio de downloaders maliciosos de aplicativos HTML (HTA) centrados em eventos geopolíticos atuais, bem como Adobe Flash falso ou instalador da Adobe de domínios controlados por agentes de ameaças. Após a execução, o malware usa a API Microsoft Graph para C&C para evitar a detecção e se misturar ao tráfego normal.
ClientKing, um implante Rust voltado para Linux
“Ambas as missões são administradas a partir de um único painel de controle, XG-Web, uma estrutura de acesso remoto e roubo de informações centrada no navegador que transforma o navegador da vítima em um canal de controle remoto completo e chega a partir daí até o host e a rede interna por trás dele”, disse a equipe Symantec e Carbon Black Threat Hunter da Broadcom.
Jewelbug é avaliado como um grupo de hackers de aluguel com sede na China que executa operações paralelas, incluindo espionagem contra governos e militares em todo o Oriente Médio, Sudeste Asiático e Sul da Ásia, e um negócio de fraude de criptomoeda com fins lucrativos.
“O grupo desenvolveu cinco gerações de código de comando e controle (C&C) e uma família de implantes abrangendo navegadores, endpoints Windows, servidores Linux e dispositivos de rede, todos alimentando um único banco de dados de vítimas”, acrescentou Broadcom. “Esse conjunto de ferramentas serve duas missões: ataques de espionagem contra governos e militares estrangeiros e fraude criptográfica com fins lucrativos dirigida a vítimas de língua chinesa.”
Diz-se que pelo menos um dos operadores está vinculado a uma empresa registada com sede na província de Hunan. O JewelBug se sobrepõe a clusters de ameaças incluídos como CL-STA-0049 (Palo Alto Networks Unit 42), Earth Alux (Trend Micro) e REF7707 (Elastic Security Labs). Em outubro de 2025, o grupo de hackers foi atribuído a uma intrusão de cinco meses destinada a um provedor de serviços de TI russo para entregar malware capaz de interferir no funcionamento normal das ferramentas de segurança.
A Symantec disse que descobriu uma lista de campanhas após uma investigação de meses, com entradas destacando campanhas de espionagem dirigidas a organizações governamentais em todo o Oriente Médio e Sudeste Asiático, bem como mais de 90 endereços de e-mail policiais e governamentais no Sul da Ásia.
“O implante separado de Linux e roteador do grupo permite estender seu alcance à infraestrutura de rede, com algumas compilações configuradas para sinalizar através do proxy corporativo interno de um grande fabricante aeroespacial e industrial dos EUA”, observou.
Paralelamente, diz-se que o ator da ameaça realizou uma operação com motivação financeira direcionada a usuários de criptomoedas que falam chinês, usando portais falsos de download de exchanges. A presença de documentos falsos que se fazem passar por entidades governamentais de Taiwan sugere que a segmentação provavelmente também se estende a Taiwan.
No centro das operações está uma plataforma de acesso remoto e roubo de informações centrada no navegador, chamada XG-Web. Construída como um painel React sobre um back-end Node.js e um banco de dados MySQL, a ferramenta é descrita pelos desenvolvedores como uma plataforma de teste de penetração que faz uso de um trabalho agendado para verificar a infraestrutura C&C do próprio grupo em relação ao VirusTotal a cada 12 horas para rotação rápida.
O XG-Web também utiliza Google Docs públicos para hospedar cargas ofuscadas que são recuperadas e executadas por seus implantes. As cargas são codificadas em XOR com uma chave aleatória para garantir que não haja duas cargas idênticas. Os nomes de host C&C são disfarçados para imitar recursos comuns, como Google Fonts.
O principal implante escolhido é uma extensão de navegador maliciosa chamada "PDF Viewer", que pode ser executada no Google Chrome e no Mozilla Firefox. Uma vez instalado, ele solicita uma ampla gama de permissões perigosas para acessar cookies, o depurador e mensagens nativas, executar scripts, interceptar solicitações da web e monitorar downloads em todos os sites.
A extensão concede a capacidade de executar JavaScript arbitrário em qualquer página da web, interagir remotamente com o navegador da web e coletar credenciais conectando formulários de login, cookies, histórico de navegação, favoritos, capturas de tela, área de transferência e tráfego da web.
O módulo da área de transferência também funciona como um clipper, trocando qualquer endereço de carteira de criptomoeda copiado pelo de um invasor para redirecionar as transações. Dito isto, nenhuma regra de substituição de endereço foi acionada, indicando que a funcionalidade do clipper não foi utilizada durante o período da campanha.
“Para escapar da sandbox do navegador, a extensão conversou com um auxiliar do Windows registrado como host de mensagens nativo sob o nome enganoso com.microsoft.runedge, que executou comandos do operador por meio do interpretador de comandos do Windows e retornou a saída ao painel”, disseram Symantec e Carbon Black.
Algumas das outras ferramentas do arsenal do Jewelbug são as seguintes -
Antino, um backdoor do Windows fornecido por meio de downloaders maliciosos de aplicativos HTML (HTA) centrados em eventos geopolíticos atuais, bem como Adobe Flash falso ou instalador da Adobe de domínios controlados por agentes de ameaças. Após a execução, o malware usa a API Microsoft Graph para C&C para evitar a detecção e se misturar ao tráfego normal.
ClientKing, um implante Rust voltado para Linux
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #jewelbug, #vinculado #à #china, #usa #xgweb #para #espionagem #governamental #e #fraude #criptográfica
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário