Jewelbugが同一インフラで政府スパイ活動と暗号資産詐欺を並行運用

中国系の脅威グループJewelbugは、単一のインフラを使い分けて2つの異なる目的を同時に達成していたことが分かりました。政府機関の監視と、暗号資産詐欺による利益獲得です。Symantecの研究者は、少人数のチームが共有システムを通じて両方の作戦を運営していたと結論付けており、その結果得られたデータベースには数千台に及ぶ侵害デバイスの痕跡が含まれていました。

政府機関と暗号資産ユーザーを標的とする二面性の脅威アクター

Earth Alux、REF7707、CL-STA-0049の別名でも追跡されているJewelbugは、中東、東南アジア、南アジア一帯の政府機関や軍事組織を標的としてきました。特定の標的リストの中からは、警察や政府機関に属するメールアドレスが90件以上確認されています。これと並行して、同じ攻撃者グループは中国語話者の暗号資産保有者を偽の取引所サイトへ誘導していました。

XG-Web:Jewelbugインフラの中枢

プラットフォーム「XG-Web」は、この作戦全体の運用上の中核として機能していました。ChromeとFirefoxの両方向けに配布された悪意ある「PDF Viewer」ブラウザ拡張機能は、Cookie、閲覧履歴、ブックマーク、クリップボードの内容、ネットワークリクエストへのアクセス権を取得します。攻撃者は開かれているどのページ上でもスクリプトを実行でき、認証情報を直接傍受することが可能でした。この拡張機能のコードには、コピーされた暗号資産ウォレットアドレスをすり替える機能も含まれていましたが、Symantecが調査した攻撃においてこの機能は実際には使用されていませんでした。

ブラウザの枠を超えて:Antinoバックドアとマルウェア「ClientKing」

ブラウザの制約を超えて活動するため、Jewelbugは補助的なWindowsユーティリティをMicrosoft Edgeのコンポーネントに偽装して展開し、侵害したシステム上で任意のコマンドを実行できるようにしていました。別のツールであるAntinoバックドアは、Adobeのインストーラーに偽装して配布され、Microsoft Graph APIを通じてコマンド&コントロール(C2)インフラと通信していました。サーバーやネットワーク機器を狙う目的で、同グループはRustベースのマルウェアファミリー「ClientKing」の亜種を37種類開発していました。

作戦の規模

Jewelbugの活動範囲は異例なほど大規模であることが判明しています。3か月に満たない期間で、同グループのデータベースには100万件を超える接続試行が記録され、攻撃者は盗み出したブラウザCookieを58万件以上収集していました。さらに、数千件規模の認証情報のセットと、2,300件を超えるメール本文も収集されていました。サーバーログには、約4,300件のユニークIPアドレスに紐づく約110万件の位置情報レコードが含まれていました。

政府系ウェブメールプラットフォームへの大規模侵害

Jewelbugがこれまでに確認された作戦の中でも最大級のものの一つでは、同グループは中東のある国全体で使用されている政府共有ウェブメールプラットフォームへのアクセス権を獲得しました。攻撃者は各政府機関を個別に攻撃するのではなく、このプラットフォームの共有サービステンプレートに悪意あるスクリプトを注入しました。その結果、悪意あるコードは15を超える個別の政府メールシステム上に同時に出現することになりました。職員がログインすると、このスクリプトがセッションCookieを収集する一方、Adobe Flashの更新を促す偽のポップアップが表示され、Antinoバックドアのインストールを誘導していました。

商業的な側面:偽の暗号資産取引所サイト

これと並行して、同じチームは偽の暗号資産取引所サイトを軸とした商業的な詐欺スキームも運営していました。自動化システムがOKXやBinanceを模倣したページを数千件生成し、40台を超えるサーバーと専用のソフトウェアツールがこれらの詐欺ページの検索エンジンでの順位を押し上げる手助けをしていました。Symantecは、このインフラの商業部門を中国湖南省に登録された企業まで遡って特定しました。この調査結果を踏まえ、研究者らはJewelbugについて、国家主導のサイバースパイ活動と独立した犯罪ビジネスを組み合わせた、契約ベースのハッキングチームに近い存在であると結論付けています。