Uma equipe de hackers que passa os dias espionando governos e as noites operando corretoras de criptomoedas falsas parece algo saído de um filme de assalto. Mas, de acordo com uma nova pesquisa da Symantec Threat Hunter Team, da Broadcom, esse é exatamente o perfil da Jewelbug, um grupo de hackers de aluguel baseado na China que agora chama atenção por misturar espionagem ligada ao Estado com operações em larga escala de fraude cripto Jewelbug voltadas diretamente a usuários comuns de criptomoedas.
Summary
Principais pontos
- Jewelbug é um grupo de hackers de aluguel baseado na China que conduz, em paralelo, campanhas de espionagem e fraude em criptomoedas a partir de um único painel de comando e controle.
- Seu esquema cripto depende de páginas falsas de corretoras geradas por IA e centenas de domínios sósia que se passam pela Binance e pela OKX.
- A Symantec descobriu que o grupo também comprometeu alvos governamentais, militares e de telecomunicações em toda a Ásia e o Oriente Médio, além de um grande fabricante industrial e aeroespacial dos EUA.
- Pesquisadores descobriram mais de 580.000 conjuntos de cookies de navegador roubados e 2.300 corpos de e‑mails exfiltrados ligados às operações da Jewelbug.
- Dick O’Brien, da Symantec, afirma que a escala do negócio de fraude sugere que isso está muito além de um “bico” para um ator ligado ao Estado.
As operações cibernéticas duplas da Jewelbug
A Jewelbug atua como um grupo mercenário que parece igualmente à vontade roubando segredos de Estado e esvaziando carteiras de criptomoedas. Os pesquisadores da Symantec descrevem um grupo que alterna entre espionagem governamental e fraude em criptomoedas “com a mesma facilidade de alternar entre abas do navegador”, gerenciando ambas as frentes de trabalho a partir de um único painel de controle personalizado.
Atividades de espionagem governamental
No lado da espionagem, a Jewelbug comprometeu organizações governamentais, militares e de telecomunicações em toda a Ásia e o Oriente Médio. Sua operação mais notável teve como alvo um governo do Oriente Médio ao violar uma plataforma de hospedagem web compartilhada operada pela empresa estatal de telecomunicações e serviços de rede do país, em vez de atacar órgãos individuais um a um. Uma vez dentro, os invasores plantaram um script na plataforma de webmail que silenciosamente inscrevia funcionários do governo em seu sistema de rastreamento, roubava cookies de login e exibia falsos avisos de atualização do Adobe Flash que escondiam malware.
Outras campanhas atingiram órgãos de inteligência da marinha, polícia e exército no Sudeste Asiático, além de um grande fabricante industrial e aeroespacial dos EUA. Segundo a contagem da Symantec, o grupo acumulou mais de 580.000 conjuntos completos de cookies de navegador, cerca de 2.300 corpos de e‑mails totalmente exfiltrados e vários milhares de credenciais de login roubadas, abrangendo milhares de vítimas distintas.
Dick O’Brien, analista principal de inteligência da Symantec Threat Hunter Team, disse que o padrão aponta fortemente para a China, embora ele tenha evitado traçar uma linha direta. “Dada a localização e os alvos deles, de longe o cenário mais provável é que estejam trabalhando para a China”, afirmou, acrescentando que espionar em nome de outro governo seria “uma proposta muito arriscada” para um grupo como a Jewelbug.
Esquema de fraude em criptomoedas
Quando não está espionando governos estrangeiros, a Jewelbug direciona sua infraestrutura para usuários comuns de cripto. A Symantec descobriu que o grupo operava um negócio de fraude financeira de escala impressionante, algo que O’Brien diz ser a maior pista de que isso não é um projeto paralelo. “A pura escala do negócio de fraude é a maior pista”, disse ele. “Eles não estão apenas ganhando um dinheirinho extra fazendo bicos à noite.”
Técnicas e alvos da fraude em criptomoedas
A operação cripto da Jewelbug depende fortemente de automação e inteligência artificial para criar, em escala, sites falsos de negociação convincentes, e depois direcionar tráfego para eles por meio de classificações de busca manipuladas.
Páginas falsas de corretoras geradas por IA
O grupo usa ferramentas de IA para gerar milhares de páginas de phishing com temas de criptomoedas, apostas esportivas e outros tópicos, todas gerenciadas por uma frota de 44 servidores de gerenciamento de conteúdo, segundo a Symantec. Para empurrar essas páginas falsas para cima nos resultados de busca, a Jewelbug implanta bots de fraude de cliques e filtra rastreadores da web com um script em PHP, de modo que scanners automatizados veem conteúdo inofensivo enquanto visitantes reais são direcionados para as páginas maliciosas e, eventualmente, para malware.
Uma das ferramentas mais incomuns do grupo é uma extensão de navegador disfarçada de “Visualizador de PDF”. Em vez de abrir documentos, ela solicita permissões amplas e coleta cookies, tokens de sessão, histórico de navegação e capturas de tela. Ela também permite que os invasores escapem da sandbox do navegador, injetem código em qualquer página da web e até troquem o endereço da carteira de cripto da vítima pelo endereço do próprio invasor durante uma transação, um recurso que a Symantec diz ainda não ter sido observado em uso ativo.
Imitação da Binance e da OKX por meio de domínios sósia
A evidência mais clara das ambições do grupo em crimes financeiros adjacentes à espionagem de hackers chineses é sua campanha de imitação contra dois dos maiores nomes do setor. A Jewelbug registrou centenas de domínios sósia criados para imitar a Binance e a OKX, duas das maiores corretoras de criptomoedas do mundo, em um esforço para enganar usuários e levá‑los a entregar credenciais ou fundos por meio do que parecem ser sites falsos de corretoras Binance.
Ambas as corretoras foram nomeadas especificamente como alvos no esquema de imitação, ressaltando como os invasores cada vez mais miram as plataformas em que os usuários de cripto já confiam, em vez de construir fraudes do zero. Esse tipo de imitação de marca é importante porque explora a familiaridade: usuários que buscam a página de login de uma corretora legítima podem cair em uma falsa quase idêntica sem perceber, especialmente quando essas páginas aparecem bem posicionadas nos resultados de busca graças ao tráfego manipulado.
Constatações do relatório Symantec Threat Hunter
Todas essas descobertas remontam ao relatório Symantec Threat Hunter, que reconstruiu a infraestrutura da Jewelbug por meio de uma plataforma de gerenciamento chamada “XG-Web”. A plataforma funciona de forma semelhante a ferramentas comerciais de software como serviço, permitindo que operadores gerem código malicioso, gerenciem dados de navegador roubados e supervisionem infecções individuais a partir de um único painel.
O design do XG-Web também revela algo sobre a estrutura interna do grupo. Ele usa controles de acesso baseados em função, com níveis de superadministrador, administrador e usuário comum, e operadores de nível inferior só podem ver as vítimas que infectaram pessoalmente. Com base nessa configuração, a Symantec caracteriza a Jewelbug como uma equipe relativamente pequena, e não uma operação gigantesca.
Os pesquisadores também apontam para uma tendência mais ampla por trás de grupos como a Jewelbug. O’Brien observou que a dependência de contratados terceirizados cresceu entre os Estados-nação, com a China representando “a principal área de crescimento”, em grande parte por causa da escala em que deseja operar no ciberespaço. Esse modelo de terceirização pode complicar a atribuição para os defensores, disse ele, já que grupos contratados muitas vezes exibem “um padrão de atividade bastante inconsistente”. Também pode oferecer aos Estados uma camada de plausível negação, embora venha com compensações. “Você tem menos supervisão sobre as operações”, disse O’Brien, observando que hackers motivados financeiramente tendem a ter uma segurança operacional mais fraca, “como evidenciado pela Jewelbug, que deixou um rastro de evidências para trás”.
Foi justamente esse rastro que permitiu à Symantec mapear em tantos detalhes as ferramentas, a infraestrutura e as vítimas do grupo, e é um lembrete de que até mesmo operações sofisticadas de dupla finalidade podem se desfazer quando pesquisadores começam a puxar o fio certo.
Perguntas frequentes
Quem é a Jewelbug?
Jewelbug é um grupo de hackers de aluguel baseado na China que realiza ciberespionagem e fraude em criptomoedas.
Que tipos de operações a Jewelbug conduz?
A Jewelbug conduz simultaneamente operações de espionagem governamental e fraude em criptomoedas, gerenciando ambas a partir de um único painel de comando e controle personalizado.
Como a Jewelbug realiza sua fraude em criptomoedas?
O grupo usa páginas falsas de corretoras geradas por IA e centenas de domínios sósia que se passam pela Binance e pela OKX, aumentando sua visibilidade com bots de fraude de cliques e manipulação de buscas.
Quais corretoras de criptomoedas foram alvo das tentativas de fraude da Jewelbug?
Binance e OKX foram especificamente alvo de imitação com domínios falsos projetados para se parecer com suas plataformas legítimas.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Quem é a Jewelbug?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Jewelbug é um grupo de hackers de aluguel baseado na China que realiza ciberespionagem e fraude em criptomoedas.”}},{“@type”:”Question”,”name”:”Que tipos de operações a Jewelbug conduz?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Jewelbug conduz simultaneamente operações de espionagem governamental e fraude em criptomoedas, gerenciando ambas a partir de um único painel de comando e controle personalizado.”}},{“@type”:”Question”,”name”:”Como a Jewelbug realiza sua fraude em criptomoedas?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O grupo usa páginas falsas de corretoras geradas por IA e centenas de domínios sósia que se passam pela Binance e pela OKX, aumentando sua visibilidade com bots de fraude de cliques e manipulação de buscas.”}},{“@type”:”Question”,”name”:”Quais corretoras de criptomoedas foram alvo das tentativas de fraude da Jewelbug?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Binance e OKX foram especificamente alvo de imitação com domínios falsos projetados para se parecer com suas plataformas legítimas.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
