Un actor de amenazas conocido como SlippyNunchucks secuestró las solicitudes DNS realizadas por las versiones para Windows de Sogou Input Method para distribuir la puerta trasera DarkVigil, según ESET. Se determinó que la campaña, que los investigadores observaron desde el 1 de julio de 2026, había tenido como objetivo a organizaciones y personas de habla China en Hong Kong, Tailandia, Japón, Vietnam, Omán y Sri Lanka.

El ataque aprovechó la función de promoción de vocabulario de la aplicación y el uso de HTTP para obtener datos de configuración. En condiciones normales, el componente SGTool.exe de Sogou Input Method se conecta a un punto de conexión de Sogou para obtener esa configuración. ESET descubrió que las respuestas DNS manipuladas dirigían las solicitudes a servidores de preparación controlados por los atacantes, que devolvían una configuración maliciosa.

Esa configuración indicaba a SGTool.exe que descargara un ejecutable legítimo de Adobe y una DLL maliciosa. A continuación, el programa cargaba DarkVigil mediante la carga lateral de DLL. DarkVigil utiliza el Protocolo de Transporte de Mensajes Dúplex para el comando y control, lo que le permite ejecutar complementos proporcionados por un servidor controlado por los atacantes para realizar actividades que incluyen persistencia y recopilación de datos.

ESET afirmó que SlippyNunchucks está activo desde al menos el 15 de septiembre de 2023 y que ha abusado de varias aplicaciones populares para llegar a usuarios de habla china, entre ellas QuickFox, QingTalk, MiYunChat, SoftCam y tawk.to. La actividad del grupo ha implicado un marco modular de .NET que contiene DarkVigil y más de 20 complementos.

Los investigadores clasificaron a SlippyNunchucks como un conjunto de intrusión independiente y señalaron que su telemetría no mostraba coincidencias tácticas con Mustang Panda, pese a los vínculos anteriores entre ese grupo y DarkVigil. ESET describió la campaña como una operación de vigilancia de un Estado nación e informó de una actividad significativa contra una organización que opera plataformas de apuestas en línea en chino en Sri Lanka, Hong Kong y Filipinas.

Tencent solucionó el problema de Sogou en la versión 16.10, publicada el 29 de octubre de 2026, al cambiar a HTTPS las solicitudes afectadas, que antes utilizaban HTTP. A la vulnerabilidad se le asignó el identificador CVE-2026-120422.

Fuentes: The Hacker News.