Actualiza Flash — y podrías perder el ordenador: un viejo truco de los hackers sigue funcionando

La agrupación china Jewelbug convirtió la misma infraestructura en una herramienta para dos objetivos a la vez: vigilar a organismos estatales y lucrar con fraudes en criptomonedas. Los especialistas de Symantec descubrieron que un equipo pequeño gestionaba ambas operaciones a través de un sistema común, y que la base recopilada contiene rastros de miles de dispositivos infectados.

Jewelbug, también conocida como Earth Alux, REF7707 y CL-STA-0049, atacó a organizaciones gubernamentales y militares en Oriente Medio, el sudeste y el sur de Asia. En listas separadas de objetivos, los especialistas hallaron más de 90 direcciones de correo electrónico de la policía y organismos estatales. Paralelamente, los atacantes atraían a propietarios de criptomonedas de habla china hacia sitios falsos de intercambio.

El centro de la infraestructura era la plataforma XG-Web. La extensión maliciosa «PDF Viewer» para Chrome y Firefox accedía a cookies, historial, marcadores, portapapeles y solicitudes de red. Los operadores podían ejecutar scripts en páginas abiertas y capturar credenciales. En el código también integraron una función que reemplazaba la dirección de una billetera de criptomonedas copiada, aunque durante los ataques analizados no la usaron.

Para salir del navegador, Jewelbug usó un programa auxiliar para Windows, disfrazado de componente de Microsoft Edge. Permitía ejecutar comandos en el sistema. Otro instrumento fue el backdoor Antino, que se distribuía como instaladores de Adobe y se vinculaba con la infraestructura de control a través de Microsoft Graph. Para servidores y equipo de red el grupo preparó 37 variantes del malware ClientKing escrito en Rust.

La escala de las operaciones resultó inusualmente grande. En menos de tres meses la base de Jewelbug recibió más de 1 000 000 de consultas, y los atacantes robaron más de 580 000 cookies. También reunieron varios miles de credenciales y más de 2 300 textos de correos electrónicos. Los registros contenían alrededor de 1,1 millones de entradas de localización de aproximadamente 4 300 direcciones IP únicas.

En una de las mayores operaciones, Jewelbug accedió a la plataforma compartida de correo web estatal en uno de los países de Oriente Medio. En lugar de atacar a cada organismo por separado, los atacantes añadieron un script malicioso en la plantilla compartida del servicio. Como resultado, el código apareció simultáneamente en más de 15 sistemas de correo estatales. Después de que un empleado iniciaba sesión, el script robaba cookies, y una ventana falsa que proponía actualizar Adobe Flash facilitaba la instalación de Antino.

Paralelamente, el equipo desarrolló un esquema comercial con sitios falsos de intercambio de criptomonedas. El sistema creaba automáticamente miles de páginas similares a los sitios de OKX y Binance, y más de 40 servidores y programas especializados ayudaban a impulsarlos en los resultados de búsqueda. Symantec relacionó la parte comercial de la infraestructura con una empresa registrada en la provincia china de Hunan. Según los expertos, Jewelbug se parece más a un equipo de hackers que trabaja por encargo y que combina ciberespionaje con su propio negocio criminal.