Un gruppo di hacker mercenari con base in Cina gestisce da un unico pannello di controllo due business paralleli: lo spionaggio per conto di uno Stato e una vasta frode crypto che ha già colpito Binance e OKX con centinaia di domini falsi. A raccontarlo è il Symantec Threat Hunter Team di Broadcom, che ha battezzato il gruppo “Jewelbug” e ne ha ricostruito il doppio volto: da un lato attacchi mirati contro enti governativi e militari, dall’altro pagine di scambio contraffatte generate con l’intelligenza artificiale per ingannare utenti di criptovalute in tutto il mondo.
Summary
Punti chiave
- Jewelbug è un gruppo di hacker-for-hire con base in Cina che conduce insieme spionaggio governativo e frodi crypto.
- Secondo Symantec, il gruppo opera entrambe le attività da un unico pannello di comando personalizzato.
- Lo schema di frode crypto si basa su pagine di exchange false generate con AI e centinaia di domini imitativi.
- Binance e OKX sono i due exchange presi di mira dall’operazione di impersonificazione.
- Le vittime dello spionaggio includono governi, militari e società di telecomunicazioni in Asia e Medio Oriente.
Le doppie operazioni cyber di Jewelbug
Jewelbug non è il classico gruppo statale che arrotonda con qualche truffa occasionale: secondo i ricercatori la scala del business fraudolento è troppo grande per essere un’attività secondaria. Il gruppo passa da un compito all’altro con la stessa facilità con cui si cambia scheda del browser, gestendo contemporaneamente centinaia di finti exchange e la compromissione di enti governativi, militari e di telecomunicazioni in Asia e Medio Oriente.
Attività di spionaggio governativo
Sul fronte spionaggio, Jewelbug ha colpito bersagli di alto profilo, tra cui un governo in Medio Oriente, corpi di intelligence navale, di polizia e militare nel Sud-Est asiatico e un grande produttore industriale e aerospaziale statunitense. In uno dei casi più significativi, il gruppo ha violato una piattaforma di hosting condivisa gestita dal fornitore statale di telecomunicazioni di un paese, ottenendo accesso in scrittura alla webmail governativa e inserendo uno script che infettava automaticamente il personale ogni volta che effettuava il login. I ricercatori hanno rintracciato nell’infrastruttura del gruppo oltre 580.000 set completi di cookie del browser, 2.300 email integralmente sottratte e diverse migliaia di credenziali di accesso, riferite a migliaia di vittime distinte.
Schema di frode sulle criptovalute
Sull’altro fronte, quello finanziario, il gruppo gestisce un’operazione su scala industriale: migliaia di siti di phishing a tema criptovalute, sport e betting, sostenuti da una rete di 44 server di gestione contenuti. Per far salire questi siti nei motori di ricerca, Jewelbug utilizza bot di click-fraud e uno script PHP che riconosce i crawler dei motori di ricerca, mostrando loro contenuti innocui mentre alle vittime reali viene servito il malware vero e proprio.
Tecniche e obiettivi della frode sulle criptovalute
Al centro della frode crypto Jewelbug c’è un uso mirato dell’intelligenza artificiale per moltiplicare in fretta pagine di exchange credibili, capaci di intercettare utenti che cercano piattaforme reali. La combinazione tra generazione automatica dei contenuti e distribuzione massiva dei domini rende lo schema difficile da smontare pezzo per pezzo.
Pagine fake di exchange generate con AI
Secondo quanto riportato, l’operazione crypto del gruppo si basa su pagine di exchange contraffatte create tramite AI, pensate per replicare l’aspetto e la fiducia delle piattaforme legittime. A questo si affianca un’estensione del browser chiamata “PDF Viewer” che, invece di offrire funzionalità di visualizzazione documenti, richiede ogni permesso possibile alle vittime e sottrae cookie, token di sessione, cronologia, screenshot e traffico di rete. Il programma consente inoltre di superare il sandboxing del browser e di iniettare codice JavaScript arbitrario su qualsiasi pagina web, arrivando a includere una funzione — non ancora utilizzata dagli attaccanti — per sostituire silenziosamente l’indirizzo crypto della vittima con quello dell’attaccante durante una transazione.
Falsificazione di Binance e OKX tramite domini imitativi
Il cuore dello schema resta però la clonazione dei marchi più riconosciuti del settore: centinaia di domini imitativi costruiti per sembrare identici a Binance e OKX. Puntare su due dei nomi più noti dell’exchange crypto non è casuale: più il brand è familiare, più basse sono le difese psicologiche dell’utente che clicca un link creduto ufficiale. È qui che la frode diventa scalabile, perché ogni dominio clonato può essere sostituito rapidamente non appena viene individuato e bloccato, alimentando un ciclo continuo di nuove esche.
Scoperte dal report di Symantec Threat Hunter
Il rapporto di Symantec chiarisce che dietro entrambe le attività c’è la stessa infrastruttura operativa, gestita tramite una piattaforma chiamata “XG-Web”, strutturata come un vero software as-a-service con ruoli distinti tra superadmin, admin e operatori ordinari, ciascuno limitato alla visione delle sole vittime che ha infettato. Questa organizzazione interna, osservano gli analisti, suggerisce un team piccolo ma disciplinato, più vicino a una piccola azienda che a un collettivo informale di criminali.
Per gli analisti, la scala del business finanziario è l’indizio più forte del fatto che non si tratti di un semplice guadagno extra da parte di operatori statali: la mole di attività fraudolenta osservata implica risorse, continuità e un modello di business vero e proprio, parallelo e non subordinato alle missioni di spionaggio.
Il modello dello spionaggio in outsourcing
Il caso Jewelbug conferma una tendenza già osservata altrove: il confine tra attori statali e gruppi criminali indipendenti si sta assottigliando, in particolare in Cina, dove infrastrutture e malware vengono spesso condivisi tra ambienti accademici, aziende private e apparati di intelligence. Il ricorso a contractor terzi permette a uno Stato di operare su scala molto più ampia senza doverne assumere direttamente il rischio, offrendo al tempo stesso un margine di negabilità plausibile in caso di attribuzione.
Non esiste una prova diretta che collega Jewelbug alla Repubblica Popolare Cinese, ma la combinazione tra localizzazione geografica e tipologia dei bersagli rende questo lo scenario più probabile secondo gli analisti. Il rovescio della medaglia, per chi si affida a operatori di questo tipo, è un controllo più debole sulle operazioni: gli hacker motivati finanziariamente tendono ad avere una sicurezza operativa più fragile, ed è proprio questo che ha permesso ai ricercatori di ricostruire nel dettaglio l’intera infrastruttura di Jewelbug, dal malware ai server fino ai domini usati per colpire Binance e OKX.
Per il settore crypto, il messaggio resta pratico: quando un dominio richiama alla perfezione un exchange noto, la garanzia migliore non è mai l’aspetto grafico della pagina, ma la verifica diretta dell’indirizzo ufficiale prima di inserire credenziali o autorizzare transazioni.
FAQ
Chi è Jewelbug?
Jewelbug è un gruppo di hacker-for-hire con base in Cina che conduce sia attività di spionaggio informatico sia frodi legate alle criptovalute.
Che tipo di operazioni conduce Jewelbug?
Il gruppo gestisce in parallelo operazioni di spionaggio governativo e schemi di frode sulle criptovalute.
Come porta avanti Jewelbug la sua frode sulle criptovalute?
Il gruppo utilizza pagine di exchange false generate con intelligenza artificiale e centinaia di domini imitativi che riproducono Binance e OKX.
Quali exchange di criptovalute sono stati presi di mira dalle frodi di Jewelbug?
Binance e OKX sono stati specificamente colpiti attraverso tentativi di impersonificazione con domini contraffatti.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
