كشفت فرق أبحاث Symantec و Carbon Black Threat Hunter أن مجموعة التهديد المرتبطة بالصين والمعروفة باسم Jewelbug تدير عمليات تجسس حكومي وعسكري بالتوازي مع أنشطة احتيال في العملات المشفرة، وذلك عبر منصة مركزية تُعرف باسم XG-Web. المنصة مبنية على واجهة React مع خلفية Node.js وقاعدة بيانات MySQL، وتعمل كإطار للتحكم عن بُعد وسرقة المعلومات من المتصفح، حيث تحول متصفح الضحية إلى قناة تحكم كاملة تمتد إلى الجهاز والشبكة الداخلية. كما تستخدم Google Docs لاستضافة حمولة مشفرة يتم جلبها وتنفيذها عبر إضافات خبيثة مثل “PDF Viewer”.
أدوات التجسس والاختراق
Jewelbug طوّرت خمسة أجيال من أكواد التحكم وسيطرت على متصفحات، أجهزة ويندوز، خوادم لينكس، وأجهزة الشبكات. أبرز أدواتها:
- Antino: باب خلفي لويندوز يتم توزيعه عبر ملفات HTML خبيثة مرتبطة بأحداث جيوسياسية، ويستخدم Microsoft Graph API للاتصال بخادم C2.
- ClientKing: غرسة مكتوبة بلغة Rust تستهدف خوادم لينكس والموجّهات، وتوفر قنوات متعددة للتحكم بما في ذلك نفق DNS، تحميل وحدات النواة من الذاكرة، وسرقة بيانات الدخول عبر تعديل su و sudo.
- PDF Viewer Extension: إضافة خبيثة لمتصفحات Chrome وFirefox تمنح صلاحيات واسعة لجمع الكوكيز، كلمات المرور، سجل التصفح، والقدرة على تنفيذ جافاسكربت عن بُعد.
حملات واسعة النطاق
التحقيقات أظهرت أن المجموعة نفذت حملة Watering Hole ضد مزوّد استضافة بريد إلكتروني حكومي في الشرق الأوسط، حيث تم حقن كود جافاسكربت في واجهة البريد الإلكتروني لخمسة عشر وزارة، ما أدى إلى سرقة الكوكيز وإرسال حمولة ثانية على شكل تحديث مزيف لـ Adobe Flash. النتائج كانت ضخمة: أكثر من 580 ألف كوكيز مسروقة، آلاف بيانات الدخول، وأكثر من 2,300 رسالة بريد إلكتروني تم استخراجها، إضافة إلى تسجيل 1.1 مليون حدث جغرافي ضد 4,300 عنوان IP.
الاحتيال في العملات المشفرة
إلى جانب التجسس، تدير المجموعة نشاطاً مالياً يستهدف المستخدمين الناطقين بالصينية عبر مواقع مزيفة تنتحل منصات مثل OKX و Binance. يتم استخدام تقنيات SEO Poisoning مدعومة بالذكاء الاصطناعي لإنشاء صفحات مزيفة، ما يؤدي إلى تنزيل عملاء سطح مكتب مخترقين أو إضافات خبيثة مثل “PDF Viewer”. هذا النشاط يُدار عبر شركة مسجلة في مقاطعة هونان الصينية، وتُستخدم قنوات على Telegram للترويج لخدمات تحسين محركات البحث كواجهة لأنشطة الاحتيال.
دلالات أمنية
تكشف هذه الحملة عن تداخل بين التجسس السيبراني والجرائم المالية، حيث تُدار المهمتان من نفس البنية التحتية وبواسطة نفس الفريق. هذا يعكس طبيعة “الهاكرز المأجورين” الذين يجمعون بين عمليات التجسس الحكومية والأنشطة الإجرامية لتحقيق أرباح مباشرة، ما يجعل Jewelbug حالة بارزة في مشهد التهديدات السيبرانية العالمية.
