Hacker Jewelbug Bobol Webmail Pemerintah Sambil Menjalankan Penipuan Kripto

Kelompok hacker Jewelbug diketahui menjalankan operasi spionase terhadap pemerintah dan organisasi militer sambil mengoperasikan bisnis penipuan cryptocurrency dalam skala besar.

Kelompok yang juga dikenal dengan nama Earth Alux dan REF7707 tersebut telah menargetkan berbagai organisasi di sektor strategis, termasuk pertahanan, telekomunikasi, pendidikan, dan penerbangan.

Temuan terbaru menunjukkan bahwa aktivitas spionase dan kejahatan finansial Jewelbug bahkan dijalankan menggunakan infrastruktur serta panel kontrol yang sama. Kondisi ini mengindikasikan bahwa kelompok tersebut tidak hanya berfokus pada espionage, tetapi juga memanfaatkan akses dan infrastruktur yang dimiliki untuk memperoleh keuntungan finansial.

Jewelbug Menargetkan 15 Webmail Pemerintah

Dalam salah satu operasi terbaru, Jewelbug berhasil mengompromikan akun webmail milik 15 tenant pemerintah sebagai bagian dari kampanye yang menargetkan sebuah negara di kawasan Timur Tengah.

Investigasi menemukan bahwa kelompok tersebut memperoleh akses tulis ke instalasi webmail bersama yang digunakan oleh sejumlah kementerian dan lembaga pemerintah.

Setelah mendapatkan akses tersebut, attacker menyisipkan malicious script ke dalam template webmail yang digunakan secara bersama.

Script tersebut kemudian dijalankan pada halaman login maupun tampilan mailbox di berbagai tenant pemerintah.

Ketika pengguna membuka halaman yang telah disusupi, script membuat koneksi WebSocket menuju command-and-control (C2) milik attacker. Script tersebut kemudian mencuri cookie webmail dan mengambil alamat email pengguna untuk menentukan apakah akun tersebut termasuk target yang diinginkan.

Dalam satu kampanye, mekanisme tersebut mencakup lebih dari 15 tenant webmail pemerintah, dengan hook yang aktif pada halaman login dan setiap tampilan mailbox.

Webmail Menjadi Jalan Masuk ke Komputer Korban

Tidak semua pengguna yang mengakses webmail langsung menerima payload utama.

Setelah script menentukan bahwa akun tersebut berasal dari domain pemerintah yang menjadi target, korban yang dianggap bernilai tinggi akan diberikan prompt palsu yang mengklaim bahwa pengguna perlu melakukan pembaruan Adobe Flash.

Prompt tersebut digunakan untuk mengelabui korban agar mengunduh dan menjalankan malware pada perangkat Windows.

Payload utama yang digunakan adalah Antino backdoor.

Jewelbug mendistribusikan Antino melalui file HTA berbahaya serta installer Adobe palsu. Setelah berhasil dijalankan, malware dapat digunakan untuk memasang payload tambahan dan mempertahankan akses pada perangkat korban.

Kelompok ini juga menggunakan framework remote-access dan data-theft bernama XG-Web untuk mengelola kampanye serta informasi korban.

Ekstensi Browser Digunakan untuk Mencuri Cookie

Salah satu komponen tambahan yang digunakan Jewelbug adalah ekstensi browser berbahaya bernama PDF Viewer untuk Chrome dan Firefox.

Meski menggunakan nama yang terlihat seperti aplikasi untuk membuka dokumen, ekstensi tersebut memiliki kemampuan jauh lebih berbahaya.

PDF Viewer dapat digunakan untuk:

• Mencuri browser cookies
• Mengambil credentials
• Mengintersep traffic browser
• Menyisipkan JavaScript ke halaman web
• Mengekspos fungsi browser agar dapat dikendalikan dari jarak jauh

Dengan kemampuan tersebut, attacker dapat mempertahankan akses terhadap akun yang sebelumnya telah digunakan korban, termasuk layanan web yang mengandalkan session cookies sebagai mekanisme autentikasi.

Infrastruktur Jewelbug Mengungkap Skala Operasi

Peneliti keamanan berhasil menelusuri infeksi Antino hingga ke infrastruktur Jewelbug dan memperoleh visibilitas terhadap panel pengelolaan C2 kelompok tersebut.

Data yang ditemukan mencakup database, server logs, source code, serta berbagai file milik operator.

Hasil analisis menunjukkan skala operasi yang jauh lebih besar daripada kampanye webmail pemerintah yang ditemukan.

Database korban Jewelbug tercatat memiliki:

• Lebih dari 1 juta implant check-in
• Lebih dari 580.000 browser cookies yang dicuri
• Beberapa ribu credentials
• Lebih dari 2.300 email yang berhasil dieksfiltrasi

Angka tersebut menunjukkan bahwa Jewelbug menjalankan operasi dengan volume tinggi dan infrastruktur yang dirancang untuk mengelola jumlah korban dalam jumlah besar.

Target Tersebar di Asia dan Timur Tengah

Dalam operasi spionasenya, Jewelbug menargetkan organisasi pemerintah dan militer di kawasan Timur Tengah, Asia Tenggara, dan Asia Selatan.

Analisis server logs menemukan sekitar 1,1 juta event geolocation yang berkaitan dengan sekitar 4.300 source IP berbeda.

Di antaranya terdapat sekitar 87.200 koneksi dari salah satu negara di Asia Tenggara yang menargetkan jaringan telekomunikasi negara dan militer.

Sekitar 53.100 koneksi lainnya berasal dari negara di Timur Tengah dan mencakup berbagai range milik operator telekomunikasi nasional, termasuk alamat yang terhubung melalui Starlink di ibu kota.

Sementara itu, sekitar 15.000 koneksi berasal dari negara kedua di Asia Tenggara, termasuk infrastruktur milik kementerian pemerintah.

Para peneliti menemukan bahwa akses awal ke webmail pemerintah diperoleh setelah Jewelbug mengompromikan shared hosting platform yang dioperasikan oleh perusahaan telekomunikasi negara dan lembaga layanan nasional.

Dari titik tersebut, attacker hanya perlu menyisipkan satu script tag untuk membuat payload JavaScript berjalan setiap kali pengguna dari domain pemerintah yang ditargetkan melakukan login.

Spionase Berjalan Bersamaan dengan Penipuan Kripto

Hal yang membuat aktivitas Jewelbug semakin menarik adalah keterkaitan langsung antara operasi espionage dan aktivitas financial fraud.

Kelompok ini diketahui menjalankan operasi penipuan cryptocurrency yang menggunakan kombinasi AI-generated content, fake crypto exchange websites, dan click-fraud bots.

Jewelbug membuat ribuan halaman palsu menggunakan AI untuk menarik pengguna yang mencari informasi atau layanan cryptocurrency tertentu.

Konten tersebut kemudian dipublikasikan melalui jaringan yang terdiri dari sekitar 44 server content-management dan ratusan domain yang dibuat menyerupai layanan populer.

Sejumlah situs palsu bahkan dirancang untuk meniru platform cryptocurrency seperti OKX dan Binance.

Setelah halaman tersebut dipublikasikan, click bots digunakan untuk memanipulasi search rankings sehingga situs penipuan dapat muncul lebih tinggi dalam hasil pencarian.

Teknik tersebut memungkinkan Jewelbug mendapatkan traffic dari pengguna yang sebenarnya sedang mencari layanan cryptocurrency, tetapi akhirnya diarahkan ke situs yang dikendalikan attacker.

Tidak Hanya Cryptocurrency

Operasi monetisasi Jewelbug juga mencakup berbagai jenis penipuan lainnya.

Infrastruktur yang sama digunakan untuk menyebarkan lure terkait:

• Sports betting
• Situs livestream ilegal
• Portal konten bajakan
• Penipuan jasa private detective
• Situs cryptocurrency palsu

Para peneliti memiliki tingkat keyakinan tinggi bahwa aktivitas Jewelbug yang berorientasi finansial berkaitan dengan sebuah perusahaan asal China yang secara terbuka menawarkan layanan SEO.

Keterkaitan tersebut menunjukkan bagaimana kemampuan SEO abuse, content generation, dan automation dapat digunakan sebagai bagian dari operasi cybercrime berskala besar.

ClientKing Menargetkan Linux dan Router

Selain malware Windows seperti Antino, Jewelbug juga menggunakan implant berbasis Rust bernama ClientKing.

Malware tersebut dirancang untuk menargetkan berbagai jenis perangkat, termasuk:

• Linux servers
• Perangkat ARM64
• Router ASUS

ClientKing mendukung sejumlah kemampuan seperti command execution, SOCKS proxying, DNS tunneling, serta pemuatan kernel module langsung ke memory.

Kemampuan tersebut memberikan Jewelbug fleksibilitas untuk memperluas operasinya di luar komputer Windows dan menjadikan perangkat jaringan maupun server sebagai bagian dari infrastrukturnya.

Google Docs Dimanfaatkan untuk Menyamarkan Traffic

Jewelbug juga menggunakan layanan yang terlihat legitimate untuk membantu menyamarkan aktivitas malicious.

Salah satu teknik yang ditemukan adalah penggunaan Google Docs untuk menyimpan payload yang telah di-obfuscate.

Implant kemudian mengambil payload tersebut dari layanan Google dan menjalankannya pada sistem korban.

Dengan menggunakan layanan populer dan legitimate, traffic malicious dapat terlihat seperti komunikasi normal dengan infrastruktur cloud yang banyak digunakan pengguna sehari-hari.

Teknik seperti ini dapat menyulitkan defender karena pemblokiran terhadap seluruh traffic menuju layanan legitimate dapat mengganggu aktivitas bisnis normal.

Jewelbug Menunjukkan Evolusi Operasi Cybercrime

Aktivitas Jewelbug memperlihatkan bagaimana kelompok threat actor dapat menjalankan beberapa model kejahatan secara bersamaan.

Di satu sisi, mereka melakukan espionage dengan menargetkan pemerintah dan organisasi militer. Di sisi lain, infrastruktur yang sama digunakan untuk pencurian credentials, browser cookies, serta menjalankan operasi cryptocurrency fraud dalam skala besar.

Kombinasi malware, browser extensions, shared hosting, WebSocket C2, AI-generated content, SEO manipulation, dan click bots menunjukkan tingkat otomatisasi yang cukup tinggi.

Bagi organisasi pemerintah maupun perusahaan, aktivitas tersebut juga menunjukkan pentingnya mengamankan bukan hanya endpoint, tetapi seluruh rantai layanan yang digunakan, termasuk shared hosting, webmail, browser extensions, credentials, dan infrastruktur pihak ketiga.

Sumber: Symantec