Hackergruppe Jewelbug bricht in Regierungs-Webmail ein

Die chinesische Hackergruppe Jewelbug betreibt Regierungsspionage und ein groß angelegtes Kryptowährungs-Betrugsgeschäft parallel.

Bei einer aktuellen Operation gegen ein Land im Nahen Osten verschaffte sich die auch als Earth Alux oder REF7707 bekannte Gruppe Schreibzugriff auf eine gemeinsam genutzte Webmail-Installation, die von mehreren Regierungsministerien und -behörden verwendet wird. Möglich wurde dies durch die vorherige Kompromittierung einer gemeinsamen, vom staatlichen Telekommunikationsanbieter betriebenen Webhosting-Plattform. Über einen einzelnen eingeschleusten Script-Tag in der gemeinsamen Vorlage sorgten die Angreifer dafür, dass bei jeder Anmeldung eines Nutzers auf einer der neun betroffenen Regierungsdomains eine WebSocket-Verbindung zu ihrem Kontrollserver aufgebaut wurde. Symantec beschreibt dies so:

„Eine einzelne Kampagne erstreckte sich über mehr als 15 Regierungs-Webmail-Mandanten, wobei der Auslöser sowohl auf der Anmeldeseite als auch bei jeder Postfachansicht griff.“

Symantec

Nach der Ausführung exfiltrierte das Skript Webmail-Cookies und rief die E-Mail-Adresse des Nutzers ab, um zu prüfen, ob diese zu einer als Ziel eingestuften Regierungsdomain gehörte. Besonders wertvolle Ziele erhielten anschließend eine gefälschte Aufforderung zur Aktualisierung von Adobe Flash, über die unter Windows die eigentliche Schadsoftware installiert wurde, darunter die Backdoor Antino sowie weitere Browser-Werkzeuge. Eines der nachgeladenen Programme ist eine bösartige, als PDF Viewer getarnte Erweiterung für Chrome und Firefox, die Cookies und Zugangsdaten stiehlt, Datenverkehr abfängt, JavaScript einschleust und Browserfunktionen aus der Ferne zugänglich macht.

Mehr als eine Million protokollierte Vorgänge in Webmail

Symantec gelang es, die Antino-Infektionen bis zur Infrastruktur von Jewelbug zurückzuverfolgen und dabei Einblick in die Verwaltungsplattform, Datenbank, Serverprotokolle, den Quellcode sowie interne Betreiberdateien der Gruppe zu erlangen. Die Forscher erklärten dazu: „Jewelbugs Opferdatenbank enthält mehr als eine Million Check-in-Einträge von Implantaten, mehr als 580.000 gestohlene Browser-Cookies, mehrere Tausend erfasste Zugangsdaten sowie mehr als 2.300 exfiltrierte E-Mail-Inhalte.“

Bei der eigentlichen Spionageaktivität richtete sich Jewelbug gegen Regierungs- und Militärorganisationen im Nahen Osten sowie in Südost- und Südasien: Die Serverprotokolle verzeichneten rund 1,1 Millionen Geolokalisierungs-Ereignisse über etwa 4.300 unterschiedliche Quell-IP-Adressen, darunter rund 87.200 Verbindungen aus einem südostasiatischen Land gegen dortige staatliche Telekommunikations- und Militärnetzwerke sowie rund 53.100 Verbindungen aus einem Land im Nahen Osten, einschließlich über Starlink verbundener Adressen in der jeweiligen Hauptstadt.

KI-generierte Fake-Artikel treiben Krypto-Betrug an

Die finanziell motivierte Seite der Gruppe stützt sich laut Symantec auf eine automatisierte Angriffspipeline, die gezielt Suchbegriffe sammelt, mithilfe von KI tausende gefälschte Download-Seiten erzeugt und diese über eine Flotte von 44 Content-Management-Servern sowie Hunderte von Fake-Domains veröffentlicht, die bekannte Kryptobörsen wie OKX und Binance nachahmen. Über Klick-Bots manipulieren die Angreifer zusätzlich die Suchmaschinen-Platzierung dieser betrügerischen Seiten. Neben gefälschten Kryptobörsen nutzt die Gruppe auch Köder aus den Bereichen Sportwetten, illegale Streaming-Portale und Betrug mit vorgetäuschten Detektivdiensten. Symantec ordnet diese finanziell motivierten Aktivitäten mit hoher Zuversicht einem chinesischen Unternehmen zu, das offiziell SEO-Dienstleistungen anbietet.

Zusätzlich setzt Jewelbug ein in der Programmiersprache Rust geschriebenes Implantat namens ClientKing ein, das gezielt Linux-Server, ARM64-Geräte sowie Router des Herstellers Asus angreift und dabei Befehlsausführung, SOCKS-Proxying, DNS-Tunneling sowie das Nachladen von Kernel-Modulen im Arbeitsspeicher unterstützt. Um schädlichen Datenverkehr zu verschleiern, missbrauchten die Angreifer zudem öffentlich zugängliche Google-Docs-Dokumente, um darüber verschleierten Schadcode zu hosten, der über die Implantate abgerufen und ausgeführt wurde.

(red)