O grupo Jewelbug transformou a navegação web comum em um ponto de entrada para espionagem. A operação baseada na China comprometeu sistemas de webmail governamentais, roubou cookies de navegador e usou esse acesso para monitorar atividades dentro das redes afetadas. Suas campanhas atingiram ministérios e alvos em todo o Oriente Médio, Sudeste Asiático e Sul Asiático. Em um incidente importante, um script malicioso foi colocado em mais de 15 inquilinos de webmail governamentais, dando aos atacantes um caminho para as contas de funcionários.
Mecanismo de infecção e controle
No centro da atividade está o XG-Web, um sistema de controle focado no navegador que permite aos operadores direcionar remotamente um navegador infectado. Sua isca principal foi uma extensão maliciosa do Chrome e Firefox chamada "Visualizador de PDF", apresentada como um leitor de documentos enquanto solicitava acesso muito além do necessário. Uma vez instalada, a extensão podia ler cookies, monitorar novos tokens de sessão, inspecionar histórico de navegação e favoritos, tirar capturas de tela e capturar o conteúdo da área de transferência.
Os cookies roubados permitem que criminosos reutilizem uma sessão logada, o que é por que os riscos de roubo de cookies de navegador permanecem sérios mesmo onde uma conta usa autenticação multifator. A extensão também injetava código em sites e interceptava o tráfego do navegador. Ela se comunicava com um assistente do Windows chamado com.microsoft.runedge, disfarçado como um componente do Edge, para executar comandos no dispositivo.
Ataques de watering hole e infraestrutura
A campanha mais ampla do Jewelbug visou uma plataforma de webmail governamental compartilhada no Oriente Médio. Em vez de atacar cada ministério separadamente, o grupo adicionou um script a um ambiente de hospedagem. Visitantes às páginas de login e caixa de correio afetadas podiam ser conectados à infraestrutura controlada pelos atacantes. Essa abordagem, conhecida como ataque de watering hole, é eficaz porque as pessoas encontram a armadilha ao usar um serviço confiável.
O grupo também operava uma fraude de criptomoedas usando páginas de download falsas de exchanges e manipulação de resultados de pesquisa para atrair vítimas de língua chinesa. A sobreposição importa porque a infraestrutura compartilhada pode permitir que um esquema de ganho de dinheiro apoie a espionagem, assim como operações APT que usam vários métodos de acesso.
Escala e impacto da espionagem
A escala é impressionante. Os investigadores encontraram mais de um milhão de verificações de implantação, mais de 580.000 cookies de navegador roubados, milhares de credenciais capturadas e mais de 2.300 corpos de e-mail roubados. Esse acesso pode expor correspondência sensível e ajudar os atacantes a se moverem mais profundamente em uma rede. O grupo também usou o ClientKing, uma implantação de Linux e roteador capaz de alcançar servidores e equipamentos de rede, dando à operação uma maneira de se expandir além de um ponto de apoio no navegador.
Recomendações de mitigação
Os defensores devem revisar extensões de navegador, remover add-ons desconhecidos, investigar registros de mensageria nativa e observar prompts de atualização de software falsos. As agências devem verificar modelos de webmail em busca de scripts não autorizados, girar sessões e credenciais expostas, segmentar sistemas de administração e monitorar solicitações incomuns a serviços internos. O patching rápido e a revisão do acesso de hospedagem de terceiros podem reduzir a chance de que uma plataforma comprometida se torne uma exposição.
O que os CISOs devem fazer agora
Organizações devem implementar monitoramento de comportamento de navegador para detectar atividades anômalas, como acesso a APIs de extensão não usuais. A revisão de permissões de extensão e a desativação de extensões não essenciais são medidas preventivas críticas. A segmentação de rede e o controle de acesso baseado em função devem ser reforçados para limitar o impacto de um comprometimento de navegador.
Perguntas frequentes
Qual o alvo principal? Governos e ministérios no Oriente Médio e Ásia.
Como eles roubam dados? Via extensões de navegador e cookies roubados.
Qual a relação com criptomoedas? A mesma infraestrutura apoia espionagem e fraude financeira.
Como se proteger? Revise extensões, monitore tráfego de navegador e segmente redes.