Jewelbug

O grupo hacker Jewelbug, também conhecido como Earth Alux e REF7707, tem se destacado por suas operações de espionagem direcionadas a governos e forças armadas, além de atividades fraudulentas relacionadas a criptomoedas. Recentemente, a Symantec revelou que o grupo comprometeu contas de webmail de 15 agências governamentais em uma campanha que visava um país do Oriente Médio. Os hackers, baseados na China, obtiveram acesso de escrita a uma instalação de webmail compartilhada, inserindo um script malicioso que coletava cookies e endereços de e-mail, permitindo a identificação de alvos valiosos. Os alvos selecionados recebiam um aviso falso de atualização do Adobe Flash, que instalava o backdoor Antino em sistemas Windows. Além disso, o grupo utiliza um framework de acesso remoto chamado XG-Web para gerenciar suas operações. A pesquisa da Symantec indicou que o Jewelbug também está envolvido em fraudes em criptomoedas, utilizando artigos gerados por IA para atrair tráfego para sites de troca de criptomoedas fraudulentos. O grupo opera uma infraestrutura complexa, com mais de um milhão de registros de implantes e cookies roubados, destacando a gravidade de suas atividades. A combinação de espionagem e fraudes financeiras representa um risco significativo para a segurança cibernética global.

Desde julho de 2025, o grupo de cibercriminosos conhecido como Jewelbug tem direcionado suas atividades principalmente a alvos governamentais na Europa, enquanto ainda mantém ataques em regiões da Ásia e América do Sul. A Check Point Research, que monitora essa ameaça sob o nome Ink Dragon, descreve a atuação do grupo como altamente eficaz e discreta, utilizando engenharia de software avançada e ferramentas nativas de plataformas para se camuflar no tráfego normal das empresas. Entre suas táticas, destacam-se o uso de backdoors como FINALDRAFT e NANOREMOTE, que permitem controle remoto e exfiltração de dados. O grupo também explorou vulnerabilidades em serviços da ASP.NET e SharePoint para comprometer servidores e estabelecer uma infraestrutura de comando e controle (C2). As intrusões têm resultado em acesso a informações sensíveis, incluindo credenciais administrativas e dados de registro. A Check Point alerta que a arquitetura de relé do Ink Dragon permite que um único comprometimento se torne um nó em uma rede de ataques mais ampla, exigindo que as defesas considerem a possibilidade de uma rede de cibercriminosos interconectada.