Ein als SlippyNunchucks bekannter Bedrohungsakteur kapert laut ESET DNS-Anfragen von Windows-Versionen von Sogou Input Method, um die DarkVigil-Backdoor zu verbreiten. Die Kampagne, die Forscher ab dem 1. Juli 2026 beobachteten, zielte nach Einschätzung auf Organisationen und chinesischsprachige Personen in Hongkong, Thailand, Japan, Vietnam, Oman und Sri Lanka.

Der Angriff nutzte die Funktion der App zur Bewerbung von Vokabeln und deren Verwendung von HTTP zum Abrufen von Konfigurationsdaten aus. Unter normalen Umständen kontaktiert die Komponente SGTool.exe von Sogou Input Method dafür einen Sogou-Endpunkt. ESET stellte fest, dass manipulierte DNS-Antworten Anfragen stattdessen an von Angreifern kontrollierte Bereitstellungsserver weiterleiteten, die eine bösartige Konfiguration zurückgaben.

Diese Konfiguration wies SGTool.exe an, eine legitime Adobe-Programmdatei und eine bösartige DLL herunterzuladen. Anschließend lud das Programm DarkVigil per DLL-Sideloading. DarkVigil verwendet das Duplex Message Transport Protocol zur Kommunikation mit dem Command-and-Control-Server und kann so von einem angreiferkontrollierten Server bereitgestellte Plugins für Aktivitäten wie Persistenz und Datensammlung ausführen.

ESET zufolge ist SlippyNunchucks seit mindestens dem 15. September 2023 aktiv und hat mehrere beliebte Anwendungen missbraucht, um chinesischsprachige Nutzer zu erreichen, darunter QuickFox, QingTalk, MiYunChat, SoftCam und tawk.to. Zu den Aktivitäten der Gruppe gehörte ein modulares .NET-Framework mit DarkVigil und mehr als 20 Plugins.

Die Forscher stuften SlippyNunchucks als eigenständige Eindringlingsgruppe ein und merkten an, dass ihre Telemetriedaten keine taktischen Überschneidungen mit Mustang Panda zeigten, obwohl es zuvor Verbindungen zwischen dieser Gruppe und DarkVigil gegeben hatte. ESET beschrieb die Kampagne als Überwachungsoperation eines Nationalstaats und meldete erhebliche Aktivitäten gegen eine Organisation, die chinesischsprachige Online-Wettplattformen in Sri Lanka, Hongkong und den Philippinen betreibt.

Tencent behob das Sogou-Problem in Version 16.10, die am 29. Oktober 2026 veröffentlicht wurde, indem die betroffenen Anfragen von HTTP auf HTTPS umgestellt wurden. Der Sicherheitslücke wurde die Kennung CVE-2026-120422 zugewiesen.

Quellen: The Hacker News.