Un acteur malveillant connu sous le nom de SlippyNunchucks a détourné les requêtes DNS émises par les versions Windows de Sogou Input Method afin de diffuser la porte dérobée DarkVigil, selon ESET. Les chercheurs ont observé cette campagne à partir du 1er juillet 2026 et estiment qu’elle visait des organisations et des personnes sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka.

L’attaque exploitait la fonctionnalité de promotion du vocabulaire de l’application et son recours au protocole HTTP pour récupérer des données de configuration. Dans des conditions normales, le composant SGTool.exe de Sogou Input Method contacte un point de terminaison de Sogou pour obtenir cette configuration. ESET a découvert que des réponses DNS manipulées redirigeaient plutôt les requêtes vers des serveurs de dépôt contrôlés par les attaquants, qui renvoyaient une configuration malveillante.

Cette configuration demandait à SGTool.exe de télécharger un exécutable Adobe légitime et une DLL malveillante. Le programme chargeait ensuite DarkVigil par le biais du DLL sideloading. DarkVigil utilise le Duplex Message Transport Protocol pour ses communications de commande et de contrôle, ce qui lui permet d’exécuter des plug-ins fournis par un serveur contrôlé par un attaquant, pour des activités telles que la persistance et la collecte de données.

ESET a indiqué que SlippyNunchucks était actif depuis au moins le 15 septembre 2023 et avait détourné plusieurs applications populaires pour atteindre des utilisateurs sinophones, notamment QuickFox, QingTalk, MiYunChat, SoftCam et tawk.to. Les activités du groupe ont impliqué un framework .NET modulaire contenant DarkVigil et plus de 20 plug-ins.

Les chercheurs ont classé SlippyNunchucks comme un ensemble d’intrusion distinct, précisant que leurs données de télémétrie ne révélaient aucun chevauchement tactique avec Mustang Panda, malgré des liens antérieurs entre ce groupe et DarkVigil. ESET a décrit la campagne comme une opération de surveillance menée par un État et a signalé une activité importante visant une organisation exploitant des plateformes de paris en ligne en langue chinoise au Sri Lanka, à Hong Kong et aux Philippines.

Tencent a corrigé le problème de Sogou dans la version 16.10, publiée le 29 octobre 2026, en faisant passer les requêtes concernées de HTTP à HTTPS. La vulnérabilité a reçu l’identifiant CVE-2026-120422.

Sources: The Hacker News.