Un attore di minacce noto come SlippyNunchucks ha dirottato le richieste DNS effettuate dalle versioni Windows di Sogou Input Method per distribuire la backdoor DarkVigil, secondo ESET. La campagna, osservata dai ricercatori a partire dal 1º luglio 2026, avrebbe preso di mira organizzazioni e persone di lingua cinese a Hong Kong, in Thailandia, Giappone, Vietnam, Oman e Sri Lanka.

L’attacco ha sfruttato la funzione dell’app per promuovere il vocabolario e il suo uso di HTTP per recuperare i dati di configurazione. In condizioni normali, il componente SGTool.exe di Sogou Input Method contatta un endpoint di Sogou per ottenere tale configurazione. ESET ha scoperto che risposte DNS manipolate reindirizzavano invece le richieste a server di staging controllati dagli aggressori, che restituivano una configurazione dannosa.

Quella configurazione istruiva SGTool.exe a scaricare un eseguibile legittimo di Adobe e una DLL dannosa. Il programma caricava quindi DarkVigil tramite DLL sideloading. DarkVigil usa il Duplex Message Transport Protocol per il comando e controllo, consentendogli di eseguire plugin forniti da un server controllato dagli aggressori per attività che includono la persistenza e la raccolta di dati.

ESET ha dichiarato che SlippyNunchucks è attivo almeno dal 15 settembre 2023 e ha abusato di diverse applicazioni popolari per raggiungere utenti di lingua cinese, tra cui QuickFox, QingTalk, MiYunChat, SoftCam e tawk.to. Le attività del gruppo hanno coinvolto un framework modulare .NET contenente DarkVigil e oltre 20 plugin.

I ricercatori hanno classificato SlippyNunchucks come un gruppo di intrusione distinto, osservando che i dati di telemetria raccolti non mostravano sovrapposizioni tattiche con Mustang Panda, nonostante i precedenti collegamenti tra quel gruppo e DarkVigil. ESET ha descritto la campagna come un’operazione di sorveglianza condotta da uno Stato e ha segnalato un’attività significativa contro un’organizzazione che gestisce piattaforme di scommesse online in lingua cinese in Sri Lanka, a Hong Kong e nelle Filippine.

Tencent ha risolto il problema di Sogou nella versione 16.10, rilasciata il 29 ottobre 2026, passando da HTTP a HTTPS per le richieste interessate. Alla vulnerabilità è stato assegnato l’identificativo CVE-2026-120422.

Fonti: The Hacker News.