Jewelbug-Gruppe: Chinesische Hacker koordinieren Spionage und Kryptobetrug
Veröffentlicht am: 14.08.2026 um 23:51 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten des Broadcom/Symantec Threat Hunter Teams haben eine weitreichende Kampagne der in China ansässigen Akteursgruppe Jewelbug identifiziert. Die unter verschiedenen Namen wie Ink Dragon oder Earth Alux bekannte Organisation setzt ein zentrales Steuerungsinstrument namens XG-Web ein, um sowohl staatlich motivierte Spionage als auch groß angelegten Kryptowährungsbetrug zu koordinieren.
Infrastruktur und technische Werkzeuge
Das entdeckte Kontrollpanel XG-Web dient der Verwaltung von fünf Generationen von Command-and-Control-Servern (C2). Jewelbug greift dabei auf drei spezialisierte Implantate zurück: Eine Browser-Erweiterung namens PDF Viewer, die Windows-Backdoor Antino sowie ClientKing, ein Implantat für Linux-Systeme und Router, für das bereits 37 unterschiedliche Versionen nachgewiesen wurden.
Das PDF-Viewer-Implantat zeichnet sich durch vielfältige Funktionen aus. Es ermöglicht den Diebstahl von Cookies und Sitzungstokens, fertigt Screenshots an und kann JavaScript in Webseiten injizieren. Eine Besonderheit stellt laut den Sicherheitsforschern die Fähigkeit dar, Kryptowährungsadressen im Browser zu ersetzen, um Transaktionen direkt auf Konten der Angreifer umzuleiten.
Ausmaß der Datenspionage
Die Analysen der Opferdatenbank offenbaren eine massive Dimension der Aktivitäten. In einem Zeitraum von weniger als drei Monaten verzeichnete die Gruppe über 1 Million Implantat-Check-ins.
Zu den sichergestellten Daten zählen mehr als 580.000 gestohlene Cookies, tausende Zugangsdaten sowie über 2.300 exfiltrierte E-Mails. Die Telemetriedaten umfassen zudem 1,1 Millionen Geolokalisierungs-Ereignisse, die 4.300 verschiedenen IP-Adressen zugeordnet werden konnten.
Angriffe auf sensible E-Mails und Zugangsdaten zeigen, wie verwundbar die digitale Infrastruktur von Unternehmen heute ist. Erfahren Sie in diesem kostenlosen E-Book, wie Sie proaktiv Sicherheitslücken schließen und Ihr Unternehmen vor aktuellen Cyberbedrohungen schützen. IT-Sicherheits-Guide jetzt kostenlos herunterladen
Die Spionagebemühungen konzentrieren sich primär auf Ziele in Südostasien, dem Nahen Osten und Südasien. In Südasien gerieten allein über 90 E-Mail-Konten von Polizei- und Regierungsstellen ins Visier. Im Nahen Osten führte die Gruppe einen Watering-Hole-Angriff durch, von dem mehr als 15 Regierungs-Webmail-Mandanten betroffen waren.
Neben staatlichen Institutionen aus dem Bereich Militär und Telekommunikation wurde zudem ein bedeutender US-amerikanischer Hersteller aus der Luft- und Raumfahrt- sowie Industriebranche kompromittiert.
Finanziell motivierte Operationen
Parallel zur Spionage betreibt Jewelbug Krypto-Betrug, der sich vorwiegend gegen chinesischsprachige Nutzer richtet. Hierzu setzt die Gruppe 44 CMS-Server ein und nutzt gefälschte Domains bekannter Handelsplattformen wie Binance und OKX. Die Angreifer verwenden KI-generierte Webseiten, SEO-Vergiftung sowie automatisierte Click-Fraud-Bots, um potenzielle Opfer auf ihre Plattformen zu locken.
Wer sich mit der zunehmenden Gefahr durch professionelle Hacker-Gruppen befasst, erkennt die Notwendigkeit einer effektiven Abwehrstrategie. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man psychologische Manipulationstaktiken entlarvt. Anti-Phishing-Paket für Unternehmen gratis anfordern
Hinweise deuten auf eine Verbindung der Gruppe zu einer SEO-Firma im chinesischen Changsha hin, wobei ein Operator mit dem Pseudonym „ople500" identifiziert wurde.
Experten gehen davon aus, dass Jewelbug entweder im direkten staatlichen Auftrag handelt oder als „Hack-for-Hire“-Dienstleister gestohlene Informationen gewinnbringend verwertet. Das Vorgehen der Gruppe verdeutlicht eine zunehmende Vermischung von politischer Spionage und krimineller Gewinnerzielung durch spezialisierte Akteure.
