Jewelbugと呼ばれるハッカー集団が、政府や軍を標的としたスパイ活動を展開する一方で、仮想通貨詐欺にも手を染めていることが分かりました。
この脅威アクターは、防衛、通信、教育、航空などの重要セクターの政府機関や組織を標的にしていますが、仮想通貨関連の活動を行っていることから、サイバー犯罪で利益を得ることを目的としたハッカー・フォー・ハイア(雇われハッカー)集団としても活動している可能性があります。
最近の作戦では、Jewelbug(Earth AluxやREF7707としても知られる)は、中東のある国を標的としたキャンペーンの一環として、15の政府機関(テナント)が使用するウェブメールアカウントを侵害しました。
Symantecの研究者によると、このスパイキャンペーンと仮想通貨詐欺は同一の管理パネルから運用されていたことが判明しています。
この中国を拠点とするハッカー集団は、共有ウェブメール環境への書き込みアクセス権を取得し、共通テンプレートに悪意のあるスクリプトを埋め込みました。このスクリプトは、15のテナントにわたるログインページとメールボックス表示画面で実行される仕組みでした。
実行されると、このスクリプトは攻撃者のコマンド&コントロール(C2)サーバーへWebSocket接続を確立し、ウェブメールのCookieを窃取するとともに、ユーザーのメールアドレスを取得して、標的とする政府ドメインに該当するかどうかを判定します。
価値の高い標的と判断された場合には、偽のAdobe Flashアップデートのプロンプトが表示され、これがWindows上でメインペイロードであるAntinoバックドアとブラウザ関連ツールをインストールする仕組みになっています。
Antinoに加えて、この脅威アクターはキャンペーンの管理や被害者情報の管理のために、リモートアクセス・データ窃取フレームワーク「XG-Web」も使用しています。
Symantecによると、JewelbugはAntinoを悪意のあるHTAファイルや偽のAdobe Flash/Adobeインストーラー経由で配布し、その後これを使って追加のペイロードを展開しています。
ペイロードの一つは、「PDF Viewer」という名前のChromeおよびFirefox向けの悪意のあるブラウザ拡張機能で、Cookieや認証情報を盗み出し、通信を傍受し、JavaScriptを注入し、さらにブラウザの機能をリモートで公開します。
Symantecは、Antinoの感染事例をJewelbugのインフラまで追跡し、その過程で同集団のC2管理プラットフォーム、データベース、サーバーログ、ソースコード、オペレーターのファイルへの可視性を獲得しました。
これらのデータから、ハッカーたちが大規模なスパイ活動を展開する一方で、「産業規模の仮想通貨詐欺ビジネス」も運営していたことが明らかになりました。
Symantecの研究者は、「Jewelbugの被害者データベースには、100万件を超えるインプラントのチェックイン記録、58万件以上の盗まれたブラウザCookie、数千件の窃取された認証情報、そして2,300件を超える窃取されたメール本文が保存されている」と指摘しています。
スパイ活動に関しては、Jewelbugは中東、東南アジア、南アジア一帯の政府・軍事組織を標的にしていました。
Symantecは次のように述べています。「実行時のサーバーログには、約4,300の異なる送信元IPアドレスから、およそ110万件の位置情報イベントが記録されていました。その内訳は、ある東南アジアの国から約87,200件の接続(国営通信会社および軍事ネットワークを標的)、ある中東の国から約53,100件(首都のStarlink接続アドレスを含む国営通信会社の全IPレンジにわたる)、そして別の東南アジアの国から約15,000件(政府省庁のインフラを含む)でした」。
研究者らの説明によると、この脅威アクターは、国営通信事業者と国家サービス機関が運用する共有ウェブホスティングプラットフォームを侵害した後、複数の政府省庁・機関が使用するウェブメール環境への書き込みアクセス権を取得したとのことです。
単一のスクリプトタグを注入することで、この脅威アクターは、9つの政府ドメインのいずれかでユーザーがログインするたびに、JavaScriptペイロードがC2へのWebSocket接続を開くようにしていました。
Symantecは、「単一のキャンペーンだけで15を超える政府ウェブメールのテナントにまたがっており、ログインページとすべてのメールボックス表示画面でこのフックが発動していた」と述べています。
仮想通貨窃取活動については、偽の仮想通貨取引所サイトへのトラフィックを誘導するAI生成記事や、検索順位を操作するクリック詐欺ボットによって支えられています。
研究者らによると、この脅威アクターは自動化された攻撃パイプラインを利用しており、キーワードをスクレイピングし、AIを使って何千もの偽ダウンロードページを生成し、それらを「44台のサーバーから成るコンテンツ管理システム群と、数百に及ぶ類似ドメイン」を通じて公開し、OKXやBinanceになりすましています。Jewelbugはクリックボットを使って検索順位を操作し、自分たちの詐欺ページを上位に表示させています。
この詐欺では、スポーツ賭博、海賊版ライブ配信ポータル、私立探偵詐欺など、他の誘導手口も使われています。
Symantecの研究者は、Jewelbugの金銭目的の活動が、SEOサービスを宣伝する中国企業に帰属するものであると高い確度で判断しています。
Jewelbugは、Linuxサーバー、ARM64デバイス、ASUSルーターを標的とするRust製インプラント「ClientKing」も使用しており、これはコマンド実行、SOCKSプロキシ、DNSトンネリング、メモリ内でのカーネルモジュールのロードに対応しています。
ハッカーたちは、難読化されたペイロードのホスティングに一般公開のGoogleドキュメントを利用しており、インプラントがこれを取得・実行することで、悪意のある通信を正規のGoogleサービスに紛れ込ませていました。
Symantecは、観測されたJewelbugの活動に関連する侵害の痕跡(IOC)を公開したほか、この脅威アクターのツールや手口、金銭目的の活動、攻撃に使用されたインフラについて詳述した、より詳細な技術レポートも公表しています。
攻撃者が有効な認証情報を手にすると、その行動のうちブロックされるのはわずか37%
全体の防御スコアだけでは、初期侵入後に何が起きているかが見えなくなることがあります。攻撃者が有効な認証情報を使い始めると、防御の実効性は急激に低下します。
「The Blue Report 2026」は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、手口ごとに防御力を測定しています。
