Jewelbug-Hacker dringen in Webmail-Systeme von Behörden ein und betreiben gleichzeitig Kryptobetrug

Die Hackergruppe Jewelbug hat Webmail-Systeme von Behörden im Nahen Osten kompromittiert und gleichzeitig ein paralleles Netzwerk für Kryptowährungsbetrug betrieben. Forscher stellten fest, dass dieselbe Infrastruktur für Cyberspionage, den Diebstahl von Zugangsdaten und KI-generierte Betrugswebseiten genutzt wurde.

Jewelbug kompromittiert gemeinsames Behörden-Webmail

Jewelbug, auch unter den Bezeichnungen Earth Alux und REF7707 bekannt, nahm Behörden, militärische Organisationen und Einrichtungen kritischer Sektoren im Nahen Osten, in Südostasien und Südasien ins Visier.

Bei einer aktuellen Kampagne erlangte die Gruppe Schreibzugriff auf eine gemeinsam genutzte Webmail-Installation, die von mehr als 15 Behörden genutzt wurde. Die Plattform diente Berichten zufolge Ministerien und Behörden und lief auf einer Infrastruktur, die von einem staatlichen Telekommunikationsanbieter und einer nationalen Dienstleistungsbehörde betrieben wurde.

Die Angreifer fügten ein schädliches Skript in eine gemeinsam genutzte Webmail-Vorlage ein. Dadurch wurde der Code jedes Mal ausgeführt, wenn Nutzer die Anmeldeseite öffneten oder ihr Postfach aufriefen.

Das Skript stellte über WebSocket eine Verbindung zum Command-and-Control-Server von Jewelbug her. Anschließend stahl es Webmail-Cookies und überprüfte, ob eine E-Mail-Adresse zu einer anvisierten Regierungsdomain gehörte.

Ausgewählten Opfern wurde eine gefälschte Aufforderung zur Aktualisierung von Adobe Flash angezeigt. Darüber wurde die Windows-Backdoor Antino zusammen mit browserbasierter Malware ausgeliefert.

Antino und schädliche Erweiterungen stehlen Daten

Jewelbug verwendet schädliche HTA-Dateien und gefälschte Adobe-Installationsprogramme, um Antino zu verbreiten. Sobald die Backdoor aktiv ist, kann sie weitere Schadsoftware installieren und den Angreifern mehr Kontrolle über kompromittierte Geräte verschaffen.

Zu diesen Komponenten gehört eine schädliche Browsererweiterung namens PDF Viewer. Sie richtet sich gegen Nutzer von Chrome und Firefox und kann Cookies und Zugangsdaten stehlen, Browserdatenverkehr abfangen, JavaScript einschleusen und Browserfunktionen aus der Ferne zugänglich machen.

Die Gruppe nutzt außerdem das Framework XG-Web für Fernzugriff und Datendiebstahl, um Kampagnen zu verwalten und Informationen über ihre Opfer zu sammeln.

Forscher, die Zugriff auf die Infrastruktur von Jewelbug erhielten, fanden Hinweise auf eine umfangreiche Operation. Die Opferdatenbank der Gruppe enthielt Berichten zufolge mehr als eine Million Check-ins von Implantaten, über 580.000 gestohlene Browser-Cookies, Tausende Zugangsdaten und mehr als 2.300 exfiltrierte E-Mails.

Spionage richtet sich gegen Behörden und Militär

Die Hackergruppe Jewelbug nutzte die kompromittierte Webmail-Plattform, um mehrere Regierungsdomains zu erreichen. Ein einziges eingeschleustes Skript ermöglichte es der Schadsoftware, die Infrastruktur der Gruppe zu kontaktieren, sobald sich Nutzer anmeldeten oder ihre Postfächer öffneten.

Serverprotokolle zeigten rund 1,1 Millionen Geolokalisierungsereignisse von etwa 4.300 IP-Adressen. Die Aktivitäten umfassten Verbindungen zu staatlichen Telekommunikations- und Militärnetzwerken in Südostasien, zu nationalen Telekommunikationsanbietern im Nahen Osten sowie zur Infrastruktur eines Ministeriums in einem weiteren südostasiatischen Land.

Jewelbug setzt außerdem ein Rust-basiertes Implantat namens ClientKing ein. Das Tool kann Linux-Server, ARM64-Geräte und ASUS-Router angreifen. Zu seinen Funktionen gehören die Ausführung von Befehlen, SOCKS-Proxying, DNS-Tunneling und das Laden von Kernel-Modulen direkt in den Arbeitsspeicher.

Die Angreifer nutzten öffentlich zugängliche Google-Docs-Dokumente, um verschleierte Payloads zu hosten, die ihre Implantate anschließend abriefen und ausführten. Diese Technik kann schädlichen Datenverkehr legitimer erscheinen lassen, da er sich mit normalem Datenverkehr zu Google-Diensten vermischt.

KI-generierter Kryptobetrug läuft parallel

Parallel zur Spionage betreibt Jewelbug ein umfangreiches Geschäft mit Kryptowährungsbetrug. Forscher fanden heraus, dass die Gruppe KI-generierte Artikel und gefälschte Downloadseiten nutzt, um Besucher auf betrügerische Webseiten für den Kryptohandel zu locken.

Das automatisierte System der Gruppe sammelt Schlüsselwörter, erstellt Tausende von Seiten und veröffentlicht sie über ein Netzwerk aus Servern und ähnlich aussehenden Domains. Viele dieser Webseiten geben sich als bekannte Kryptobörsen aus.

Click-Fraud-Bots manipulieren anschließend die Suchrankings, um die betrügerischen Seiten in den Suchergebnissen weiter nach oben zu bringen. Die Kampagne nutzt außerdem Sportwettenangebote, raubkopierte Livestreams und gefälschte Privatdetektivdienste als Köder.

Die Forscher ordneten die finanziell motivierten Aktivitäten von Jewelbug mit hoher Sicherheit einem in China ansässigen Unternehmen zu, das SEO-Dienstleistungen anbietet. Die Überschneidungen zwischen den Spionage- und Betrugssystemen deuten darauf hin, dass Jewelbug staatlich ausgerichtete Angriffe mit profitorientierter Cyberkriminalität kombinieren kann.