Un grupo de ciberdelincuentes conocido como Jewelbug está llevando a cabo una combinación poco habitual de actividades: por un lado, realiza operaciones de espionaje contra gobiernos y organizaciones militares y por otro, mantiene una operación a gran escala destinada a obtener beneficios mediante fraudes relacionados con criptomonedas.
Los investigadores también identifican al grupo con los nombres Earth Alux y REF7707. Sus objetivos incluyen organizaciones gubernamentales y sectores estratégicos como defensa, telecomunicaciones, educación y aviación.
La combinación de espionaje y actividades puramente económicas plantea la posibilidad de que Jewelbug también opere como un grupo de hackers bajo demanda, capaz de utilizar sus capacidades técnicas tanto para obtener información como para generar beneficios directamente.
Un ataque contra el correo electrónico de varios gobiernos
Una de las campañas más recientes tuvo como objetivo un país de Oriente Medio. Los atacantes consiguieron acceso a una plataforma de correo web compartida utilizada por diferentes organismos gubernamentales.
Desde allí, modificaron una plantilla común e introdujeron un script malicioso. El código se ejecutaba cada vez que un usuario iniciaba sesión o accedía a determinadas vistas de su buzón.
El ataque llegó a afectar a más de 15 entornos gubernamentales, convirtiendo una única intrusión en una herramienta capaz de comprometer potencialmente a usuarios de múltiples organismos.
El robo comienza en el navegador
Una vez ejecutado el script, este establecía una conexión mediante WebSocket con el servidor de comando y control de los atacantes. Desde allí, Jewelbug podía recopilar información como las cookies de sesión del navegador y la dirección de correo electrónico del usuario.
Esta última información tenía una función especialmente importante: permitía determinar si la víctima pertenecía a alguno de los dominios gubernamentales que interesaban a los atacantes.
Cuando el usuario era considerado un objetivo valioso, el ataque avanzaba hacia una segunda fase.
Una falsa actualización de Adobe Flash
Las víctimas seleccionadas podían recibir un aviso falso solicitando la instalación de una actualización de Adobe Flash. En realidad, el instalador era malicioso y servía para desplegar Antino, una de las principales herramientas utilizadas por Jewelbug.
Aunque Adobe Flash dejó de recibir soporte oficialmente hace años, los atacantes continúan utilizando falsas actualizaciones de software como señuelo porque pueden resultar eficaces cuando una víctima no presta atención al origen del archivo.
Una vez instalado, Antino permite a los atacantes mantener el acceso al sistema y desplegar herramientas adicionales.
Una extensión del navegador capaz de robarlo casi todo
Entre las herramientas utilizadas por el grupo se encuentra una extensión maliciosa para Chrome y Firefox denominada PDF Viewer.
A pesar de presentarse como una herramienta aparentemente legítima para visualizar documentos, sus capacidades son muy diferentes.
La extensión puede:
- Robar cookies del navegador.
- Obtener credenciales.
- Interceptar tráfico.
- Inyectar código JavaScript.
- Acceder remotamente a funciones del navegador.
- Recopilar información de las sesiones de usuario.
El robo de cookies resulta especialmente peligroso porque puede permitir a un atacante reutilizar sesiones existentes y acceder a determinados servicios sin necesidad de conocer directamente la contraseña de la víctima.
Los investigadores encontraron el panel de control
La investigación de Symantec permitió llegar mucho más lejos de lo habitual.
Los investigadores consiguieron obtener visibilidad sobre parte de la infraestructura utilizada por Jewelbug, incluyendo su panel de control C2, bases de datos, registros de servidores, código fuente y archivos empleados por los operadores.
Esta información permitió descubrir que el grupo no estaba llevando a cabo únicamente una operación de espionaje.
Detrás de la infraestructura existía también una enorme actividad orientada a generar ingresos mediante diferentes formas de fraude.
Más de un millón de registros de dispositivos infectados
Los datos encontrados muestran una escala considerable.
La base de datos de víctimas de Jewelbug contenía más de un millón de registros de conexiones de implantes, más de 580.000 cookies de navegador robadas, varios miles de credenciales capturadas y más de 2.300 correos electrónicos completos extraídos.
Estas cifras muestran que la infraestructura utilizada por el grupo no estaba diseñada para atacar únicamente a unos pocos objetivos concretos.
Se trata de una operación capaz de gestionar miles de víctimas y grandes cantidades de información robada.
Espionaje a gran escala
En el ámbito del espionaje, Jewelbug ha dirigido sus operaciones contra organizaciones gubernamentales y militares de diferentes regiones. Entre sus objetivos aparecen países de Oriente Medio, el Sudeste Asiático y el Sur de Asia.
Los registros de sus servidores revelaron aproximadamente 1,1 millones de eventos de geolocalización, procedentes de unos 4.300 rangos de direcciones IP diferentes.
Estos datos muestran la amplitud de la infraestructura utilizada para identificar y controlar posibles víctimas.
Del espionaje al fraude con criptomonedas
La otra cara de Jewelbug es todavía más llamativa. Los investigadores descubrieron una operación de fraude relacionada con criptomonedas que funcionaba a una escala industrial.
El grupo utilizaba inteligencia artificial para generar grandes cantidades de contenido falso, principalmente artículos y páginas diseñadas para atraer tráfico desde los motores de búsqueda.
Después, ese tráfico era dirigido hacia páginas que imitaban servicios legítimos de intercambio de criptomonedas. Entre los principales objetivos de estas falsificaciones se encontraban marcas conocidas como OKX y Binance.
SEO, inteligencia artificial y bots
El sistema utilizado por Jewelbug está altamente automatizado. Los atacantes recopilan palabras clave, generan mediante IA miles de páginas falsas y las distribuyen a través de una infraestructura compuesta por decenas de servidores y cientos de dominios similares a los legítimos.
Después utilizan bots para generar clics y manipular los resultados de los motores de búsqueda.
El objetivo es sencillo: conseguir que las páginas fraudulentas aparezcan lo más arriba posible cuando una persona busca información relacionada con criptomonedas. De esta manera, el grupo puede atraer víctimas sin necesidad de contactar directamente con ellas.
No solo criptomonedas
Las actividades fraudulentas de Jewelbug no se limitan al mundo de las criptomonedas.
Los investigadores también encontraron campañas relacionadas con:
- Apuestas deportivas.
- Portales de retransmisiones deportivas pirateadas.
- Servicios falsos de detectives privados.
- Descargas fraudulentas.
El patrón es similar: crear páginas atractivas, posicionarlas mediante técnicas automatizadas y utilizar el tráfico generado para obtener beneficios.
También atacan servidores Linux y routers
Jewelbug dispone además de herramientas diseñadas para atacar otros tipos de dispositivos.
Una de ellas es ClientKing, un implante desarrollado en Rust que puede ejecutarse en servidores Linux, dispositivos ARM64 y determinados routers ASUS.
Entre sus capacidades se encuentran la ejecución remota de comandos, la creación de proxies SOCKS, el uso de túneles DNS y la carga de módulos del kernel directamente en memoria.
Esto demuestra que el grupo no depende exclusivamente de los ordenadores Windows y que cuenta con herramientas adaptadas a diferentes tipos de infraestructuras.
Google Docs como parte de la infraestructura
Otro detalle interesante de la operación es el uso de Google Docs para alojar cargas maliciosas ofuscadas. Los implantes utilizados por Jewelbug podían recuperar estos archivos desde los servicios de Google y ejecutarlos posteriormente.
El uso de servicios legítimos puede ayudar a que el tráfico malicioso pase más desapercibido, ya que las comunicaciones con infraestructuras conocidas pueden mezclarse con el tráfico normal de una organización.
Un modelo de ciberdelincuencia cada vez más sofisticado
El caso de Jewelbug muestra cómo los grupos de amenazas modernas pueden combinar objetivos que tradicionalmente se asociaban a actores diferentes.
El mismo grupo puede realizar espionaje contra organismos gubernamentales, robar cookies y credenciales, comprometer servidores y, al mismo tiempo, utilizar inteligencia artificial, automatización y técnicas de posicionamiento web para generar ingresos mediante fraude.
Según los investigadores de Symantec, existe una alta confianza en que las actividades económicas atribuidas a Jewelbug están relacionadas con una empresa china que anuncia servicios de SEO.
Aunque la investigación continúa, el caso demuestra una tendencia importante: las operaciones de espionaje y las actividades criminales con motivación económica ya no tienen por qué estar completamente separadas.
Jewelbug representa precisamente ese modelo híbrido, en el que una misma infraestructura puede servir tanto para obtener información estratégica como para convertir millones de dispositivos y usuarios en una fuente de ingresos.
Para las organizaciones, el mensaje es claro: proteger únicamente los servidores ya no es suficiente. Los navegadores, las cookies de sesión, las extensiones, los dispositivos periféricos y hasta los servicios aparentemente legítimos utilizados como intermediarios pueden convertirse en piezas fundamentales de un ataque moderno.
