Il gruppo di hacker noto come Jewelbug, o Ink Dragon, ha dimostrato di operare su un’unica infrastruttura condivisa per infiltrare sistemi governativi e, contemporaneamente, eseguire campagne di phishing per truffare utenti di criptovalute.
Nel mese di agosto, un team di ricercatori di Symantec e Carbon Black ha pubblicato un rapporto dettagliato che mette in luce le attività di un gruppo di minacce persistenti avanzate (APT) noto con diversi alias: Jewelbug, Ink Dragon, Earth Alux, REF770 e CL‑STA‑0049. L’analisi rivela che le operazioni di spionaggio e le frodi in criptovalute sono gestite dalla stessa piccola squadra, su un’infrastruttura condivisa e controllata da un unico pannello di comando.
Il gruppo sfrutta vulnerabilità note di IIS e SharePoint per ottenere l’accesso iniziale. Una volta dentro, installa shell web e un backdoor sofisticato, identificato con nomi come VARGEIT, Squidoor o FinalDraft. Questi malware supportano diversi metodi di comando‑e‑controllo (C2), tra cui l’uso delle API di Microsoft Graph/Outlook, il tunneling DNS e quello ICMP, permettendo una comunicazione quasi indistinguibile dal traffico legittimo.
Una delle componenti chiave è Antino, un backdoor Windows che comunica con i controllori tramite le API di Microsoft Graph, facendo sembrare il traffico C2 parte integrante dei servizi cloud Microsoft. Altri strumenti includono un’estensione dannosa per Chrome e Firefox chiamata PDF Viewer e un programma ausiliario mascherato da componente di Microsoft Edge, entrambi in grado di rubare cookie, credenziali e dati di navigazione.
Le indagini hanno mostrato che Jewelbug ha mirato a numerose agenzie governative nei paesi del Medio Oriente, del Sud‑Est asiatico e del Sud‑Asia. In un singolo attacco, un script è stato iniettato in più di 15 tenant di webmail governativi in un paese del Medio Oriente, creando un watering‑hole che ha consentito l’installazione di backdoor su larga scala. Il gruppo ha raccolto oltre un milione di check‑in di implant e più di 580.000 cookie di browser rubati in meno di tre mesi.
Un altro punto di interesse è l’uso di un proxy interno di un grande produttore aerospaziale e industriale statunitense, che ha permesso al gruppo di accedere a reti interne di alto valore.
Parallelamente alle attività di spionaggio, Jewelbug ha gestito una campagna di frode mirata a utenti di criptovalute di lingua cinese. Il gruppo ha creato portali di download di exchange falsi, accompagnati da documenti di truffa che imitavano agenzie governative taiwanesi, suggerendo un interesse anche per la regione.
Questa operazione finanziaria è stata realizzata sfruttando la stessa infrastruttura XG‑Web, una piattaforma C2 basata su browser che funge da console di gestione centrale. Tutti i dati, dagli implant alle attività degli operatori, sono archiviati in un unico database condiviso.
Il rapporto indica che le operazioni sono gestite da un piccolo team, con un unico pannello di controllo. Un operatore, identificato come ople500 e noto con il soprannome paopaodada (“bubble boss”), è stato collegato con alta confidenza a un’azienda SEO registrata a Changsha, Hunan. Sebbene la persona legale dell’azienda non faccia parte del team di hacker, fornisce infrastruttura e accesso, fungendo da “braccio commerciale” del gruppo.
Jewelbug rappresenta un esempio di APT che unisce spionaggio di alto livello e frodi finanziarie, sfruttando infrastrutture condivise e tecniche di C2 avanzate. La sua capacità di infiltrarsi in sistemi governativi di diversi paesi e di truffare utenti di criptovalute dimostra la necessità di una difesa multilivello, che includa patching tempestivo, monitoraggio sofisticato e formazione continua.
La diffusione di queste tattiche evidenzia come la sicurezza informatica non sia più una questione di singoli attacchi, ma di un ecosistema complesso in cui le minacce si evolvono e si combinano per massimizzare l’impatto.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
