Eine Hackergruppe, die ihre Tage damit verbringt, Regierungen auszuspionieren, und ihre Nächte damit, gefälschte Krypto-Börsen zu betreiben, klingt wie etwas aus einem Heist-Film. Doch laut neuer Forschung des Symantec Threat Hunter Teams von Broadcom entspricht dies genau dem Profil von Jewelbug, einer in China ansässigen Hackergruppe auf Auftragsbasis, die nun Aufmerksamkeit erregt, weil sie staatlich verknüpfte Spionage mit groß angelegten Jewelbug-Krypto-Betrugs-Operationen kombiniert, die gezielt auf alltägliche Kryptowährungsnutzer ausgerichtet sind.
Summary
Wichtigste Erkenntnisse
- Jewelbug ist eine in China ansässige Hackergruppe auf Auftragsbasis, die parallele Spionage- und Kryptowährungsbetrugskampagnen von einem einzigen Command-and-Control-Panel aus betreibt.
- Ihr Krypto-System stützt sich auf KI-generierte gefälschte Börsenseiten und Hunderte von nachgeahmten Domains, die Binance und OKX imitieren.
- Symantec stellte fest, dass die Gruppe außerdem Regierungs-, Militär- und Telekommunikationsziele in Asien und dem Nahen Osten sowie einen großen US-Industrie- und Luft- und Raumfahrtkonzern kompromittierte.
- Forscher deckten mehr als 580.000 gestohlene Browser-Cookie-Sätze und 2.300 exfiltrierte E-Mail-Inhalte auf, die mit den Operationen von Jewelbug in Verbindung stehen.
- Dick O’Brien von Symantec sagt, dass das Ausmaß des Betrugsgeschäfts darauf hindeutet, dass es sich um weit mehr als nur einen Nebenverdienst für einen staatlich verknüpften Akteur handelt.
Jewelbugs doppelte Cyber-Operationen
Jewelbug agiert als Söldnertruppe, die sich offenbar ebenso wohl dabei fühlt, Staatsgeheimnisse zu stehlen, wie Krypto-Wallets zu leeren. Die Forscher von Symantec beschreiben eine Gruppe, die mit „der gleichen Leichtigkeit wie beim Wechseln zwischen Browser-Tabs“ zwischen Regierungsspionage und Kryptowährungsbetrug hin- und herschaltet und beide Arbeitsbereiche über ein einziges maßgeschneidertes Kontrollpanel verwaltet.
Spionageaktivitäten gegen Regierungen
Auf der Spionageseite hat Jewelbug Regierungs-, Militär- und Telekommunikationsorganisationen in Asien und im Nahen Osten kompromittiert. Die bemerkenswerteste Operation richtete sich gegen eine Regierung im Nahen Osten, indem eine gemeinsam genutzte Webhosting-Plattform kompromittiert wurde, die von dem staatlichen Telekommunikations- und Netzwerkanbieter des Landes betrieben wird, anstatt einzelne Behörden nacheinander anzugreifen. Einmal eingedrungen, platzierten die Angreifer ein Skript auf der Webmail-Plattform, das Regierungsmitarbeiter unauffällig in ihr Trackingsystem aufnahm, Anmelde-Cookies stahl und gefälschte Adobe-Flash-Update-Aufforderungen auslieferte, hinter denen sich Malware verbarg.
Andere Kampagnen trafen Marine-, Polizei- und militärische Nachrichtendienste in Südostasien sowie einen großen US-Industrie- und Luft- und Raumfahrtkonzern. Nach Symantecs Zählung sammelte die Gruppe mehr als 580.000 vollständige Browser-Cookie-Sätze, rund 2.300 vollständig exfiltrierte E-Mail-Inhalte und mehrere Tausend gestohlene Anmeldeinformationen, die sich über Tausende unterschiedlicher Opfer erstrecken.
Dick O’Brien, leitender Geheimdienstanalyst des Symantec Threat Hunter Teams, sagte, das Muster deute stark auf China hin, auch wenn er davor zurückschreckte, eine direkte Verbindung zu ziehen. „Angesichts ihres Standorts und ihrer Zielauswahl ist bei weitem das wahrscheinlichste Szenario, dass sie für China arbeiten“, sagte er und fügte hinzu, dass Spionage im Auftrag einer anderen Regierung für eine Gruppe wie Jewelbug „ein sehr riskantes Unterfangen“ wäre.
Kryptowährungs-Betrugsschema
Wenn sie nicht gerade ausländische Regierungen ausspioniert, richtet Jewelbug ihre Infrastruktur auf gewöhnliche Krypto-Nutzer aus. Symantec stellte fest, dass die Gruppe ein Finanzbetrugsgeschäft in beeindruckendem Umfang betrieb – ein Punkt, von dem O’Brien sagt, dass er der größte Hinweis darauf ist, dass es sich nicht um ein Nebenprojekt handelt. „Das schiere Ausmaß des Betrugsgeschäfts ist der größte Hinweis“, sagte er. „Sie verdienen sich nicht nur ein bisschen extra Geld mit einem Nebenjob.“
Techniken und Ziele des Kryptowährungsbetrugs
Jewelbugs Krypto-Operation stützt sich stark auf Automatisierung und künstliche Intelligenz, um in großem Umfang überzeugende gefälschte Handelsseiten zu erstellen und dann über manipulierte Suchrankings Traffic auf diese Seiten zu lenken.
KI-generierte gefälschte Börsenseiten
Die Gruppe nutzt KI-Tools, um Tausende von Phishing-Seiten zu generieren, die sich um Kryptowährungen, Sportwetten und andere Themen drehen und laut Symantec über eine Flotte von 44 Content-Management-Servern verwaltet werden. Um diese gefälschten Seiten in den Suchergebnissen nach oben zu bringen, setzt Jewelbug Klickbetrugs-Bots ein und filtert Webcrawler mit einem PHP-Skript heraus, sodass automatisierte Scanner harmlosen Inhalt sehen, während echte Besucher zu den bösartigen Seiten und schließlich zu Malware geleitet werden.
Eines der ungewöhnlicheren Werkzeuge der Gruppe ist eine Browser-Erweiterung, die als „PDF Viewer“ getarnt ist. Anstatt Dokumente zu öffnen, fordert sie weitreichende Berechtigungen an und sammelt Cookies, Sitzungstokens, Browserverlauf und Screenshots. Sie ermöglicht es Angreifern außerdem, aus der Browser-Sandbox auszubrechen, Code in jede Webseite einzuschleusen und sogar die Krypto-Wallet-Adresse eines Opfers während einer Transaktion durch die eigene Adresse des Angreifers zu ersetzen – ein Feature, von dem Symantec sagt, dass es bisher noch nicht in aktiver Nutzung beobachtet wurde.
Imitation von Binance und OKX über ähnlich aussehende Domains
Der deutlichste Beleg für die Ambitionen der Gruppe im Bereich der an China-Hacker-Spionage angrenzenden Finanzkriminalität ist ihre Imitationskampagne gegen zwei der größten Namen der Branche. Jewelbug hat Hunderte von ähnlich aussehenden Domains registriert, die darauf ausgelegt sind, Binance und OKX – zwei der weltweit größten Kryptowährungsbörsen – nachzuahmen, um Nutzer dazu zu bringen, Zugangsdaten oder Gelder über Seiten preiszugeben, die wie gefälschte Binance-Börsenseiten aussehen.
Beide Börsen wurden in dem Imitationsschema ausdrücklich als Ziele genannt, was unterstreicht, dass Angreifer zunehmend die Plattformen ins Visier nehmen, denen Krypto-Nutzer bereits vertrauen, anstatt Betrug von Grund auf neu aufzubauen. Diese Art der Markenimitation ist bedeutsam, weil sie Vertrautheit ausnutzt: Nutzer, die nach einer legitimen Login-Seite einer Börse suchen, können auf einer nahezu identischen Fälschung landen, ohne es zu merken – insbesondere dann, wenn diese Seiten dank manipulierten Traffics in den Suchergebnissen gut platziert sind.
Ergebnisse des Symantec Threat Hunter Reports
All diese Erkenntnisse lassen sich auf den Symantec Threat Hunter Report zurückführen, der Jewelbugs Infrastruktur über eine Verwaltungsplattform namens „XG-Web“ zusammenführte. Die Plattform funktioniert ähnlich wie kommerzielle Software-as-a-Service-Tools und ermöglicht es den Betreibern, bösartigen Code zu generieren, gestohlene Browserdaten zu verwalten und einzelne Infektionen über ein einziges Dashboard zu überwachen.
Das Design von XG-Web verrät auch etwas über die interne Struktur der Gruppe. Es verwendet rollenbasierte Zugriffskontrollen mit Superadmin-, Admin- und normalen Benutzerstufen, und Operatoren auf niedrigerer Ebene können nur die Opfer sehen, die sie persönlich infiziert haben. Auf dieser Grundlage charakterisiert Symantec Jewelbug eher als ein relativ kleines Team denn als eine weit verzweigte Operation.
Forscher verweisen außerdem auf einen breiteren Trend hinter Gruppen wie Jewelbug. O’Brien stellte fest, dass die Abhängigkeit von Drittanbieter-Auftragnehmern unter Nationalstaaten zugenommen hat, wobei China „den wichtigsten Wachstumsbereich“ darstellt – vor allem wegen des Umfangs, in dem es im Cyberspace agieren will. Dieses Auslagerungsmodell kann die Zuschreibung für Verteidiger erschweren, sagte er, da beauftragte Gruppen oft „ein ziemlich inkonsistentes Aktivitätsmuster“ zeigen. Es kann Staaten auch eine Ebene plausibler Abstreitbarkeit bieten, kommt jedoch mit Kompromissen. „Sie haben weniger Aufsicht über die Operationen“, sagte O’Brien und merkte an, dass finanziell motivierte Hacker tendenziell eine schwächere operative Sicherheit haben, „wie Jewelbug zeigt, die eine Spur von Beweisen hinterlassen haben.“
Genau diese Spur ermöglichte es Symantec, die Werkzeuge, die Infrastruktur und die Opfer der Gruppe so detailliert zu kartieren, und sie erinnert daran, dass selbst ausgefeilte Doppelzweck-Operationen auseinanderfallen können, sobald Forscher am richtigen Faden ziehen.
FAQ
Wer ist Jewelbug?
Jewelbug ist eine in China ansässige Hackergruppe auf Auftragsbasis, die Cyber-Spionage und Kryptowährungsbetrug betreibt.
Welche Arten von Operationen führt Jewelbug durch?
Jewelbug führt gleichzeitig Spionageoperationen gegen Regierungen und Kryptowährungsbetrugsoperationen durch und verwaltet beide über ein einziges benutzerdefiniertes Command-and-Control-Panel.
Wie führt Jewelbug seinen Kryptowährungsbetrug durch?
Die Gruppe verwendet KI-generierte gefälschte Börsenseiten und Hunderte von ähnlich aussehenden Domains, die Binance und OKX imitieren, und steigert deren Sichtbarkeit mit Klickbetrugs-Bots und Suchmanipulation.
Welche Kryptowährungsbörsen wurden von Jewelbugs Betrugsversuchen ins Visier genommen?
Binance und OKX wurden gezielt durch Imitation mit gefälschten Domains angegriffen, die so gestaltet sind, dass sie wie ihre legitimen Plattformen aussehen.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wer ist Jewelbug?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Jewelbug ist eine in China ansässige Hackergruppe auf Auftragsbasis, die Cyber-Spionage und Kryptowährungsbetrug betreibt.“}},{„@type“:“Question“,“name“:“Welche Arten von Operationen führt Jewelbug durch?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Jewelbug führt gleichzeitig Spionageoperationen gegen Regierungen und Kryptowährungsbetrugsoperationen durch und verwaltet beide über ein einziges benutzerdefiniertes Command-and-Control-Panel.“}},{„@type“:“Question“,“name“:“Wie führt Jewelbug seinen Kryptowährungsbetrug durch?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Gruppe verwendet KI-generierte gefälschte Börsenseiten und Hunderte von ähnlich aussehenden Domains, die Binance und OKX imitieren, und steigert deren Sichtbarkeit mit Klickbetrugs-Bots und Suchmanipulation.“}},{„@type“:“Question“,“name“:“Welche Kryptowährungsbörsen wurden von Jewelbugs Betrugsversuchen ins Visier genommen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Binance und OKX wurden gezielt durch Imitation mit gefälschten Domains angegriffen, die so gestaltet sind, dass sie wie ihre legitimen Plattformen aussehen.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
