Китайская группировка злоумышленников, известная как SlippyNunchucks, была замечена в операции по угону доменных имен (DNS), злоупотребляющей незащищенными HTTP-коммуникациями в версиях Sogou Input Method для Windows. Это является частью кампании по наблюдению, направленной на развертывание импланта DarkVigil (также известного как FDMTP).
Кампания, начавшаяся 1 июля 2026 года, предположительно была нацелена на организации и китайскоязычных пользователей в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке, согласно данным ESET.
«Импланты DarkVigil обычно развертываются через популярные китайские приложения», — сообщил исследователь ESET Ань Хо в отчете, опубликованном The Hacker News. «Злоупотребляя этими приложениями, группировка SlippyNunchucks смогла добраться до китайскоязычных пользователей по всей Азии и Европе».
Среди приложений, использованных злоумышленниками, — Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam и tawk.to.
SlippyNunchucks, активная как минимум с 15 сентября 2023 года, известна своими атаками на организации и китайскоязычных пользователей в Южной и Восточной Азии. Эти атаки привели к развертыванию модульного фреймворка .NET, включающего DarkVigil и более 20 плагинов.
Хотя использование бэкдора ранее связывали с группировкой Mustang Panda, ESET не обнаружила тактических совпадений между этой группировкой и активностью, связанной с DarkVigil, в своих телеметрических данных, что позволило классифицировать ее как отдельный набор вторжений.
Ранее в августе команда реагирования на инциденты Fortinet’s FortiGuard подробно описала компрометацию цепочки поставок злоумышленником в отношении VPN-сервиса QuickFox и инструмента сетевого ускорения для доставки DarkVigil.
По данным словацкой компании по кибербезопасности, злоумышленник переключился на использование Sogou Input Method, популярного редактора ввода на китайском языке, разработанного Tencent, в качестве вектора доставки через три дня после того, как QuickFox выпустила чистую версию своей программы.
В частности, атака включает угон механизма продвижения брендированной лексики приложения для предоставления вредоносной конфигурации, что в конечном итоге прокладывает путь для развертывания вредоносного ПО через SGTool.exe — легитимный компонент Sogou Input Method, функционирующий как многоцелевой диспетчер задач.
В чистой среде исполняемый файл отправляет HTTP-запрос к конечной точке “config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php” для получения конфигурации. Но в атаке, обнаруженной ESET, разрешение DNS домена было изменено таким образом, чтобы он разрешался в один из двух промежуточных серверов.
Следствием этого угона DNS стало то, что HTTP-запросы к конечной точке “getBrandScd.php” перенаправлялись на один из промежуточных серверов, который затем отвечал вредоносной конфигурацией. Конфигурация, в свою очередь, инструктирует бинарный файл загрузить два дополнительных полезных нагрузки с “sogou-cdn[.]com” и запустить вредоносное ПО посредством DLL sideloading.
DarkVigil примечателен использованием Duplex Message Transport Protocol (DMTP) для командно-контрольных (C2) операций, позволяя клиенту выполнять и оркестрировать плагины, полученные с сервера, контролируемого злоумышленником, для обеспечения персистентности или сбора данных.
После ответственного раскрытия информации Tencent устранила уязвимость (CVE-2026-120422) в версии 16.10, выпущенной 29 октября 2026 года, переведя затронутые HTTP-запросы на HTTPS.
Предполагается, что SlippyNunchucks действует в интересах китайского правительства, а ESET описывает это как государственную кампанию наблюдения.
«Хотя SlippyNunchucks нацелена на организации и частных лиц в различных секторах, мы обнаружили значительную активность наблюдения против организации, управляющей онлайн-платформами для ставок на китайском языке в Шри-Ланке, Гонконге и на Филиппинах», — заявили в ESET.
«Целенаправленность этой организации примечательна, учитывая ограничения Китая на азартные игры, включая уголовные наказания за ведение игорного бизнеса и организацию азартных игр для китайских граждан за рубежом».
Это не первый случай, когда китайские группировки злоумышленников использовали Sogou Input Method в качестве точки входа для распространения вредоносного ПО. В сентябре 2026 года Gen Digital сообщила, что уязвимость в редакторе ввода (CVE-2026-51990), которая была исправлена, была использована UNC3569 для доставки бэкдора под названием GRAYRABBIT посредством специально созданной ссылки.
«Уязвимость объединяет три отдельные слабости в единый эксплойт, работающий в одно нажатие: непроверенное внедрение аргументов командной строки в обработчике протокола sgbiz: custom, неограниченная навигация по URL-адресам в WebView на основе CEF и сильно устаревший, непесочницный движок браузера Chromium [уязвимый к CVE-2021-38003]», — заявили в Gen Digital.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
