Symantec démasque un groupe APT lié à la Chine mêlant espionnage et fraude crypto depuis une interface unique

Un groupe de cybermercenaires basé en Chine, surnommé « Jewelbug », mène simultanément des activités d'espionnage gouvernemental et de fraude aux cryptomonnaies à partir de la même infrastructure de commande et de contrôle, selon une étude publiée jeudi par l'équipe Symantec Threat Hunter. Cette découverte révèle un acteur de menace à double usage, un cas rare opérant à grande échelle sur plusieurs continents.

Une interface unique, deux missions

Jewelbug (également suivi sous les noms d'Earth Alux, REF7707 et CL-STA-0049) gère à la fois ses campagnes d'espionnage et ses activités de fraude crypto via une plateforme centralisée appelée XG-Web, développée sous forme d'application React sur un backend Node.js. La base de données des victimes du groupe a enregistré plus d'un million de connexions d'implants, plus de 580 000 cookies de navigation volés et plus de 2 300 contenus d'e-mails exfiltrés.security+1

« C'est très différent des cas où nous avons vu des acteurs étatiques s'essayer à la cybercriminalité pour arrondir leurs fins de mois », a déclaré Dick O'Brien, analyste principal des menaces pour l'équipe Symantec Threat Hunter. « L'ampleur même de l'activité de fraude en est la preuve flagrante. Ils ne font pas cela en dilettante pour gagner un peu d'argent de poche ».darkreading

Du côté de l'espionnage, l'opération la plus ambitieuse du groupe a consisté à compromettre une plateforme d'hébergement web partagée gérée par un fournisseur public de télécommunications du Moyen-Orient, en y injectant un script malveillant unique qui a permis de piéger (watering hole) plus de 15 messageries gouvernementales à la fois. D'autres campagnes ont ciblé des services de renseignement de la marine, de la police et de l'armée en Asie du Sud-Est, ainsi qu'un important constructeur aérospatial et industriel américain.security+1

Fraude crypto à grande échelle grâce à l'IA

Le volet financier de l'opération utilise l'intelligence artificielle pour générer des milliers de fausses pages de plateformes d'échange de cryptomonnaies usurpant l'identité de sites comme OKX et Binance, gérées par plus de 40 serveurs de gestion de contenu. L'extension de navigateur malveillante du groupe, déguisée en « PDF Viewer », peut remplacer discrètement l'adresse du portefeuille crypto d'une victime par une adresse contrôlée par les attaquants lors des transactions. Cette fraude cible principalement des victimes sinophones et est liée à une entreprise enregistrée dans la province du Hunan, en Chine.cryptobriefing+1

Attribution et implications

Symantec estime avec un niveau de confiance élevé que l'opération de fraude aux cryptomonnaies est dirigée par un individu identifié grâce à des documents d'identité officiels et une licence commerciale. Bien qu'il n'y ait pas de preuve directe reliant Jewelbug à l'État chinois, O'Brien a souligné que le ciblage du groupe rend toute autre explication peu probable. « Le recours à des sous-traitants privés s'est considérablement développé parmi les États-nations », a-t-il déclaré. « C'est principalement dû à l'échelle à laquelle la Chine souhaite opérer dans le cyberespace ».darkreading+1

La sécurité opérationnelle du groupe a été qualifiée d'inégale : les opérateurs ont testé à plusieurs reprises leur propre logiciel de vol de données sur leurs propres navigateurs et ont réutilisé des identifiants sur l'ensemble de leur infrastructure, laissant derrière eux ce qu'O'Brien a appelé « une traînée de preuves ».security+1