中国関連の脅威グループ「Jewelbug」、単一のWeb管理基盤「XG-Web」で政府スパイと暗号資産詐欺を同時展開

要点

• 中国関連のサイバー脅威グループ「Jewelbug」が、国家機関を狙ったスパイ活動と金銭目的の暗号資産詐欺を並行して展開していることが判明した。

• 攻撃の統括には独自開発のWeb管理プラットフォーム「XG-Web」が用いられ、単一のデータベースで全被害者情報が一元管理されていた。

• 正規のPDF閲覧ツールを装った悪意あるブラウザ拡張機能を利用し、ブラウザを遠隔操作の足がかりとして端末や内部ネットワークへ侵入を広げていた。

• Linuxサーバーやルーター向けインプラントのほか、Windowsバックドア「Antino」など多岐にわたるツール群が確認されている。

• 米Broadcom傘下のSymantecおよびCarbon Blackの脅威調査チームは2026年8月中旬、中国に関連するとみられる脅威グループ「Jewelbug」の活動に関する調査結果を公表した。発表によると、同グループは中東やアジア地域の政府・軍事組織を標的としたサイバースパイ活動と、暗号資産ユーザーを狙った金銭詐欺という2つの異なる作戦を同時に実行していたという。両作戦はいずれも「XG-Web」と呼ばれる共通の統合管理プラットフォームを通じて制御されており、ブラウザの乗っ取りを起点とした高度な攻撃インフラの実態が明らかになった。

スパイ活動と金銭犯罪を併任する請負型グループ

Jewelbugは、国家支援型スパイと金銭目的の犯罪を並行して行う請負型（hackers-for-hire）の脅威アクターと評価されている。関係者の少なくとも1名は中国・湖南省に拠点を置く登録企業との関連が指摘されているほか、セキュリティ業界では「CL-STA-0049」「Ink Dragon」「Earth Alux」「REF7707」などの別名でも追跡されている。同グループは2025年10月にも、セキュリティ製品の正常な動作を妨害するマルウェアを用いてロシアのITサービス企業に5カ月間にわたり侵入していたことが判明していた。

数カ月にわたる調査で判明した活動リストによると、スパイ作戦の標的は中東や東南アジアの政府機関のほか、南アジアにおける90件以上の警察および政府メールアドレスに及んでいた。さらに、台湾の政府機関を装った囮文書が確認されたことから、標的には台湾も含まれている可能性が高いと分析されている。その一方で、同グループは中国語圏の暗号資産ユーザーを標的とし、偽の取引所ダウンロードポータルを用いた詐欺作戦も同時に進めていたとされる。

統合管理プラットフォーム「XG-Web」と検知回避の手口

今回の作戦の中核を担っていたのが、ブラウザを起点に情報窃取と遠隔アクセスを行うプラットフォーム「XG-Web」だ。フロントエンドにReact、バックエンドにNode.js、データベースにMySQLを採用して構築されており、開発者らはこれを「侵入テスト（ペネトレーションテスト）用プラットフォーム」と称していたという。

XG-Webには、セキュリティ監視を逃れるための巧妙な仕組みが組み込まれていた。

• インフラの自動ローテーション: 定期実行タスクにより、グループ自身のC&C（コマンド＆コントロール：遠隔操作用サーバー）インフラがセキュリティ診断サービス「VirusTotal」で検知されていないかを12時間ごとに自動照合し、検知された場合は迅速に通信先を切り替えていた。
• 公開クラウドサービスの悪用: ペイロード（攻撃用プログラム）の配布元として公開状態の「Google Docs」を利用していた。
• 暗号化と偽装: ペイロードにはランダムな暗号鍵を用いたXORエンコードが施されており、ファイルごとに異なるデータとなるよう加工されていた。また、C&Cサーバーのホスト名には「Google Fonts」などの一般的なWebリソースに似せた名称が使われていた。

ブラウザ拡張機能「PDF Viewer」による侵害プロセス

標的の侵入に主に使用されていたのは、Google ChromeおよびMozilla Firefoxに対応した「PDF Viewer」という名称の悪意あるブラウザ拡張機能だった。この拡張機能はインストール時に、Cookieへのアクセスやデバッガー権限、スクリプト実行、全サイトの通信監視など、広範かつ危険な権限を要求する。

拡張機能が有効化されると、Webページ上での任意のJavaScript実行が可能になるほか、ログインフォームの入力値、Cookie、閲覧履歴、ブックマーク、画面のスクリーンショット、クリップボードデータ、Webトラフィックなどが盗み取られる。また、クリップボード内の暗号資産ウォレットアドレスを攻撃者のアドレスにすり替える機能（クリッパー）も備わっていたが、調査期間中にこの置換ルールが実行された痕跡は確認されなかった。

さらに、Webブラウザの保護機能（サンドボックス）を回避して端末本体を操作するため、Windowsの正規機能である「Native Messaging（ブラウザと端末内アプリの通信機能）」が悪用されていた。「com.microsoft.runedge」というMicrosoftの正規プロセスに見せかけた名称でヘルパープログラムを登録し、Windowsのコマンドインタープリター経由でオペレーターの命令を実行して、その結果を管理パネルへ返送していたという。

多様なプラットフォームを標的にするツール群

Jewelbugはこれまでに5世代にわたるC&Cコードを開発しており、侵害の対象はブラウザにとどまらず、Windows端末、Linuxサーバー、ネットワーク機器（ルーター）にまで広がっている。

Linuxサーバーやルーター向けに開発された専用インプラントによってネットワークインフラ深部への侵入が可能となっており、確認された検体のなかには、米国の主要な航空宇宙・産業製造メーカーの企業内プロキシを経由して通信を行うよう設定されたものも含まれていた。

このほか、地政学的なイベントを題材にした悪意あるHTA（HTML Application）ダウンローダーや、偽のAdobe Flash・Adobeインストーラーを通じて配布されるWindows向けバックドア「Antino」など、複数の攻撃ツールが同グループの兵器庫として確認されている。