ESET раскрыла DNS-атаку через Sogou Input Method с бэкдором DarkVigil
ESET связала группировку SlippyNunchucks с кампанией, в которой через DNS-подмену запросов Windows-версии Sogou Input Method доставлялся бэкдор DarkVigil, также известный как FDMTP. Наблюдение за активностью началось 1 июля 2026 года; целями стали организации и китайскоязычные пользователи в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке.
Уязвимость получила идентификатор CVE-2026-120422. Tencent закрыла её в версии Sogou Input Method 16.10, выпущенной 29 октября 2026 года: затронутые HTTP-запросы переведены на HTTPS.
Как подмена DNS приводила к загрузке вредоносного кода
В штатной ситуации компонент SGTool.exe, входящий в Sogou Input Method и работающий как диспетчер задач, получает конфигурацию механизма продвижения брендированных словарей. Для этого он отправляет HTTP-запрос к endpoint getBrandScd.php на домене config.pinyin.sogou.com.
В обнаруженной ESET атаке разрешение этого домена подменялось. Запрос перенаправлялся на один из двух промежуточных серверов злоумышленников, которые возвращали вредоносную конфигурацию вместо ожидаемого содержимого.
Такая конфигурация предписывала SGTool.exe скачать дополнительные компоненты и запустить нагрузку методом DLL sideloading. В цепочке использовался легитимный исполняемый файл Adobe biz_helper.exe и подложенная библиотека libcef.dll, содержавшая DarkVigil.
Что известно о DarkVigil и группе SlippyNunchucks
DarkVigil представляет собой модульный .NET-фреймворк с более чем 20 плагинами. Для связи с управляющим сервером он применяет Duplex Message Transport Protocol, или DMTP, и может получать от оператора плагины для закрепления в системе либо сбора данных.
ESET отслеживает SlippyNunchucks как отдельный набор вторжений, активный не позднее 15 сентября 2023 года. Исследователи отмечают, что DarkVigil ранее связывали с Mustang Panda, однако в телеметрии ESET не выявили тактических пересечений между этой группой и данной активностью.
До Sogou Input Method атакующие использовали компрометацию QuickFox — VPN и инструмента сетевого ускорения. По оценке ESET, переход к новому вектору произошёл через три дня после выпуска чистой версии QuickFox. Среди других приложений, которыми злоумышленники злоупотребляли для доставки DarkVigil, названы QingTalk, MiYunChat, SoftCam и tawk.to.
Что проверить организациям
Организациям стоит убедиться, что на рабочих устройствах установлена Sogou Input Method 16.10 или более новая версия. Также имеет смысл проверить события DNS-разрешения для домена конфигурации Sogou, обращения SGTool.exe и запуск связки biz_helper.exe с библиотекой libcef.dll.
Этот инцидент показывает практический риск незащищённых HTTP-запросов в широко используемых пользовательских приложениях. Для бизнеса первоочередными мерами остаются своевременное обновление ПО, контроль DNS-инфраструктуры и мониторинг необычных цепочек запуска процессов.