Uma investigação da equipa Symantec Threat Hunter, divulgada esta semana, descreve um grupo que fez algo pouco habitual: usar exatamente a mesma infraestrutura, a mesma equipa e o mesmo painel de controlo para espiar governos e, em paralelo, gerir um negócio de fraude com criptomoedas. O grupo é identificado como Jewelbug e, segundo os investigadores, é um agente de ameaça baseado na China que tem invadido ministérios na Ásia e no Médio Oriente enquanto mantém discretamente um negócio de fraude com criptomoedas, sendo ambas as operações conduzidas pela mesma pequena equipa, sobre infraestrutura partilhada e a partir de um único painel de controlo. O caso mais grave descrito no relatório envolveu o webmail de um governo do Médio Oriente, transformado em armadilha para os próprios funcionários públicos.
Resposta rápida: A Symantec associa ao grupo Jewelbug (também conhecido por Earth Alux, REF7707 e CL-STA-0049) uma operação dupla: ciberespionagem contra governos e forças de segurança na Ásia e no Médio Oriente e, em simultâneo, fraude com criptomoedas dirigida sobretudo a vítimas de língua chinesa. Num único ataque, um script colocado num alojamento partilhado transformou mais de 15 «tenants» de webmail governamental em armadilha, com roubo de cookies de sessão e falsas atualizações do Adobe Flash a instalar uma backdoor. A recomendação prática para organizações: controlar rigidamente as extensões de navegador, invalidar sessões e cookies após qualquer suspeita, e desconfiar de qualquer pedido de «atualização de plugin» dentro de portais internos.
Espionagem e fraude no mesmo painel de controlo
O elemento que distingue este caso não é a sofisticação técnica, mas a convivência de duas missões incompatíveis à primeira vista. A combinação de duas missões nas mesmas mãos é o que torna o Jewelbug notável: a espionagem contra governos e militares estrangeiros foi conduzida a partir da mesma infraestrutura, pela mesma equipa, que um negócio de fraude com criptomoedas de tipo «commodity». O grupo é descrito como uma operação de «hackers-for-hire» que corre operações paralelas — espionagem contra governos e forças militares no Médio Oriente, Sudeste Asiático e Sul da Ásia, e fraude cripto com fins lucrativos — ambas administradas a partir de um único painel, o XG-Web, uma estrutura centrada no navegador que transforma o browser da vítima num canal de controlo remoto e alcança, a partir daí, o sistema e a rede interna.
Para os investigadores, a dimensão da componente criminal é o dado mais revelador. Dick O’Brien, analista principal de intelligence da Symantec Threat Hunter Team, afirma que o caso é diferente de situações em que atores estatais «brincam» com o cibercrime para ganhar algum dinheiro extra, e que a escala do negócio de fraude é a maior pista. O Jewelbug não é um nome novo: também é seguido como REF7707, CL-STA-0049 e Earth Alux, está ativo pelo menos desde meados de 2023 e tem visado repetidamente redes governamentais e empresariais na América do Sul, Sul e Sudeste Asiático e Taiwan.
Um script, mais de 15 «tenants» de webmail do Estado
A operação de espionagem mais ambiciosa descrita no relatório dispensou o phishing tradicional. Na maior operação do grupo, um único script implantado colocou um ataque de «watering hole» em mais de 15 «tenants» de webmail governamental de um país do Médio Oriente de uma só vez. Comprometer um fornecedor de alojamento partilhado e colocar a armadilha em todos os «tenants» governamentais nele hospedados, numa só ação, transformou uma única intrusão em acesso a todo um parque nacional de webmail.
O mecanismo era simples e difícil de detetar pelo utilizador. Em vez de atacar cada organismo estatal individualmente, o grupo concentrou-se numa plataforma de alojamento web partilhada operada pelo operador de telecomunicações estatal do país, obteve acesso de escrita à plataforma de webmail e colocou lá um script; a partir daí, sempre que funcionários do Estado iniciavam sessão para consultar o correio eletrónico, o script inscrevia-os no painel XG-Web, roubava-lhes os cookies de sessão e apresentava falsos avisos de atualização do Adobe Flash que escondiam a backdoor Antino e a extensão «PDF Viewer». Outras campanhas visaram organismos de marinha, polícia e intelligence militar no Sudeste Asiático, bem como um grande fabricante industrial e aeroespacial norte-americano.
Antino, ClientKing e uma extensão que pedia tudo
O arsenal assenta em implantes desenvolvidos à medida para diferentes camadas do ambiente da vítima.
| Componente | Função descrita pela Symantec |
|---|---|
XG-Web | Painel único de comando e controlo, partilhado entre a operação de espionagem e a de fraude cripto |
Antino | Backdoor para Windows; usa a API do Microsoft Graph como canal de C&C |
ClientKing | Implante para Linux e equipamentos de rede/routers |
PDF Viewer | Extensão maliciosa para Chrome e Firefox que se faz passar por leitor de documentos |
A extensão é o elemento mais revelador da mudança de tática. Em vez de mostrar PDF, pede ao utilizador todas as permissões possíveis e rouba cookies, tokens de sessão, histórico, capturas de ecrã, tráfego e praticamente tudo o resto que tenha valor. Permite ainda escapar à «sandbox» do navegador, injetar JavaScript arbitrário em qualquer página e interagir com o browser da vítima como se o atacante estivesse sentado na cadeira dela. Do lado do implante Windows, a Symantec indica que o Antino, uma vez em execução, usa a API do Microsoft Graph como canal de comando e controlo, escondendo o tráfego dentro de serviços legítimos da cloud da Microsoft — uma técnica que torna praticamente inútil o bloqueio por reputação de domínio.
Do outro lado: falsas exchanges geradas com IA
A componente financeira funciona à escala industrial e com métodos de cibercrime comum. O braço comercial está ligado a uma empresa registada na província chinesa de Hunan, registada como fornecedora de «aluguer de posicionamento em motores de busca» e publicitada nesses termos no Telegram, mas que na prática é uma cadeia de envenenamento de SEO que gera páginas de phishing com recurso a ferramentas de inteligência artificial, com milhares de páginas falsas de descarregamento a imitar plataformas de criptomoedas, suportadas por mais de 40 servidores de gestão de conteúdos e bots de fraude de cliques para subir nos resultados de pesquisa. Os operadores registaram ainda centenas de domínios semelhantes aos das exchanges OKX e Binance e camuflaram as páginas de forma a que os «crawlers» vissem o conteúdo de phishing enquanto os visitantes comuns eram redirecionados.
Há também um módulo pensado para a etapa em que quase ninguém desconfia: existe uma funcionalidade para substituir silenciosamente dados da vítima que, segundo a análise, os atacantes ainda não terão utilizado — na prática, a troca do endereço de carteira copiado para a área de transferência. Sobre a origem dos operadores, os investigadores descrevem indícios consistentes: trabalham a partir do interior da China, com um perfil de encaminhamento VPN configurado para contornar destinos na China continental e tunelar tudo o resto, e um padrão de trabalho concentrado nas tardes e noites do fuso UTC+8. A Symantec associa a operação comercial a uma pessoa concreta identificada como representante legal da empresa; por prudência, esta publicação não reproduz o nome.
Os números da operação
| Indicador | Valor comunicado pela Symantec |
|---|---|
| Registos de «check-in» de implantes | Mais de 1 milhão |
| Cookies de navegador roubados | Mais de 580 000 |
| Credenciais capturadas | Vários milhares |
| Corpos de mensagens de e-mail exfiltrados | Mais de 2300 |
A base de dados de vítimas do Jewelbug contém mais de 1 milhão de linhas de «check-in» de implantes, mais de 580 000 cookies de navegador roubados, vários milhares de credenciais capturadas e mais de 2300 corpos de e-mail exfiltrados, de acordo com a empresa. Esses valores foram registados em menos de três meses de operações ativas, o que dá a medida do ritmo. Um conjunto de implantes estava mesmo configurado para utilizar o proxy interno de um grande fabricante aeroespacial e industrial norte-americano.
O que fazer: medidas concretas
- Aplicar políticas de gestão de extensões nos navegadores geridos (listas de permissão por ID de extensão) e bloquear instalações fora dos canais aprovados.
- Rever extensões instaladas que peçam permissões amplas — acesso a cookies, «debugger», interceção de pedidos web ou execução de scripts em todos os sítios.
- Formar as equipas para um princípio simples: um portal interno ou webmail corporativo nunca pede a instalação de um «plugin» ou de uma atualização do Adobe Flash — tecnologia descontinuada há anos.
- Reduzir o tempo de vida das sessões e forçar a revogação de cookies e tokens após qualquer suspeita, já que o roubo de cookies contorna a autenticação multifator.
- Monitorizar tráfego anómalo para serviços cloud legítimos, incluindo chamadas à API do Microsoft Graph a partir de máquinas ou contas onde tal não é esperado.
- Tratar fornecedores de alojamento e de correio eletrónico partilhado como risco de cadeia de abastecimento, com requisitos contratuais de segurança e notificação de incidentes.
Porque é que isto importa em Portugal
Nenhum dos alvos identificados é português, mas o modelo de ataque é diretamente transponível. Muitas autarquias, entidades públicas e PME nacionais partilham fornecedores de alojamento, de correio eletrónico e de gestão de sítios web: comprometer um só prestador pode dar acesso a dezenas de clientes ao mesmo tempo. É exatamente esse cenário que o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) procura endereçar, ao exigir das entidades abrangidas medidas de gestão de risco que incluem a segurança da cadeia de abastecimento e obrigações de notificação de incidentes ao CNCS/CERT.PT.
Há ainda uma dimensão de proteção de dados. O roubo de cookies de sessão e de conteúdos de caixas de correio implica, quase sempre, acesso a dados pessoais de terceiros — cidadãos, colaboradores, clientes — com as consequentes obrigações previstas no RGPD, incluindo a avaliação de risco para os titulares e a eventual notificação à CNPD. Para o cidadão comum, a lição do braço financeiro é igualmente prática: procurar uma exchange no motor de busca é hoje um método pouco seguro de lá chegar, porque o primeiro resultado pode ser uma página gerada por IA e artificialmente promovida.
Perguntas frequentes
O que é o Jewelbug?
É a designação usada pela Symantec para um grupo com base na China, também seguido como Earth Alux, REF7707 e CL-STA-0049, ativo pelo menos desde meados de 2023 e que combina espionagem contra alvos governamentais e militares com uma operação lucrativa de fraude em criptomoedas.
Como é que as vítimas foram infetadas sem abrir anexos?
Através de um ataque de «watering hole»: os atacantes obtiveram acesso de escrita a uma plataforma de webmail alojada num prestador partilhado e injetaram um script. Quem iniciava sessão via os seus cookies serem roubados e recebia um falso aviso de atualização que instalava a backdoor e a extensão maliciosa.
A autenticação multifator protege contra este ataque?
Ajuda, mas não chega. Quando o atacante rouba cookies de sessão já autenticados, pode reutilizar a sessão sem passar de novo pela autenticação. Por isso são essenciais sessões curtas, revogação rápida de tokens e deteção de utilização anómala de sessões.
O que deve fazer uma PME portuguesa a seguir a esta notícia?
Inventariar as extensões de navegador em uso, restringir instalações a uma lista aprovada, confirmar com o fornecedor de alojamento e de correio eletrónico quais são os seus controlos e procedimentos de notificação, e reforçar a formação para que ninguém instale «plugins» a pedido de páginas web.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Symantec Threat Hunter Team (Broadcom) e em declarações dos seus investigadores reproduzidas por publicações especializadas.