DNS otmica Sogou Input Method-a vodila do DarkVigil malvera
ESET je identifikovao kampanju aktera SlippyNunchucks koja od 1. jula 2026. zloupotrebljava DNS zahteve programa Sogou Input Method za isporuku implantata DarkVigil, poznatog i kao FDMTP. Kampanja je bila usmerena na organizacije i korisnike koji govore kineski u Hong Kongu, Tajlandu, Japanu, Vijetnamu, Omanu i Šri Lanki, a Tencent je ranjivost CVE-2026-120422 otklonio u verziji 16.10 od 29. oktobra 2026.
Kako je preusmeravanje dovelo do malvera
Sogou Input Method koristi mehanizam za promociju rečnika brenda. U redovnom radu legitimna komponenta SGTool.exe šalje HTTP zahtev domenu config.pinyin.sogou.com, ka putanji /api/brandScd/getBrandScd.php, kako bi preuzela konfiguraciju.
U zabeleženom napadu DNS razrešavanje tog domena bilo je izmenjeno tako da zahtev završi na pripremnim serverima napadača. Pošto je komunikacija bila zasnovana na HTTP-u, server je mogao da vrati zlonamernu konfiguraciju umesto očekivanog sadržaja.
Ta konfiguracija je nalagala SGTool.exe da preuzme dodatne komponente sa domena sogou-cdn.com. Lanac zatim koristi legitimni Adobe izvršni fajl biz_helper.exe i zlonamernu biblioteku libcef.dll koja sadrži DarkVigil, pri čemu se malver pokreće tehnikom DLL sideloading.
Šta DarkVigil omogućava napadaču
DarkVigil je deo modularnog .NET okvira sa više od 20 dodataka. Za komandno-kontrolnu komunikaciju koristi Duplex Message Transport Protocol, odnosno DMTP, što klijentu omogućava da prima i izvršava dodatke sa servera pod kontrolom napadača radi održavanja pristupa ili prikupljanja podataka.
ESET je SlippyNunchucks aktivnost povezao sa nadzorom koji se uklapa u interese kineske države, ali nije našao taktička preklapanja sa drugim aktivnostima povezanim sa DarkVigilom. Grupa je aktivna najmanje od 15. septembra 2023. i napada organizacije i korisnike koji govore kineski širom južne i istočne Azije.
Zakrpiti klijent i proveriti mrežni trag
Pre prelaska na Sogou Input Method, ista grupa je kompromitovala QuickFox VPN i alat za ubrzanje mreže radi isporuke DarkVigila. ESET navodi da se promena vektora dogodila tri dana pošto je QuickFox objavio čistu verziju svog programa, što pokazuje kako napadači mogu brzo promeniti aplikaciju za distribuciju.
Timovi zaduženi za bezbednost treba da provere da li je Sogou Input Method ažuriran na verziju 16.10 ili noviju i da pregledaju neuobičajena DNS razrešavanja i komunikaciju povezanu sa njegovim konfiguracionim zahtevima. Posebnu pažnju zaslužuju preuzimanja koja uključuju SGTool.exe, biz_helper.exe i libcef.dll, jer kombinacija legitimnog izvršnog fajla i neočekivane biblioteke može ukazivati na DLL sideloading.
Poslovni zaključak je jednostavan: ažuriranje klijentskih aplikacija mora pratiti nadzor DNS saobraćaja i provera lanca preuzimanja, naročito kada softver preuzima konfiguracije preko nezaštićenog HTTP-a.