Um agente de ameaças conhecido como SlippyNunchucks sequestrou solicitações de DNS feitas pelas versões para Windows do Sogou Input Method para distribuir a backdoor DarkVigil, segundo a ESET. A campanha, observada por pesquisadores a partir de 1º de julho de 2026, teria como alvo organizações e indivíduos de língua chinesa em Hong Kong, Tailândia, Japão, Vietnã, Omã e Sri Lanka.
O ataque explorou o recurso de promoção de vocabulário do aplicativo e o uso de HTTP para recuperar dados de configuração. Em condições normais, o componente SGTool.exe do Sogou Input Method acessa um endpoint da Sogou para obter essa configuração. A ESET constatou que respostas DNS manipuladas redirecionavam as solicitações para servidores de preparação controlados pelos invasores, que retornavam uma configuração maliciosa.
Essa configuração instruía o SGTool.exe a baixar um executável legítimo da Adobe e uma DLL maliciosa. Em seguida, o programa carregava o DarkVigil por meio de sideloading de DLL. O DarkVigil usa o Duplex Message Transport Protocol para comando e controle, permitindo que execute plugins fornecidos por um servidor controlado pelos invasores para atividades que incluem persistência e coleta de dados.
A ESET informou que o SlippyNunchucks está ativo desde pelo menos 15 de setembro de 2023 e que abusou de vários aplicativos populares para alcançar usuários de língua chinesa, incluindo QuickFox, QingTalk, MiYunChat, SoftCam e tawk.to. As atividades do grupo envolveram uma estrutura modular em .NET que contém o DarkVigil e mais de 20 plugins.
Os pesquisadores classificaram o SlippyNunchucks como um conjunto de intrusão distinto, observando que a telemetria não mostrou sobreposição tática com o Mustang Panda, apesar de associações anteriores entre esse grupo e o DarkVigil. A ESET descreveu a campanha como uma operação de vigilância de um Estado-nação e relatou atividade significativa contra uma organização que operava plataformas de apostas online em chinês no Sri Lanka, em Hong Kong e nas Filipinas.
A Tencent corrigiu o problema do Sogou na versão 16.10, lançada em 29 de outubro de 2026, substituindo HTTP por HTTPS nas solicitações afetadas. A vulnerabilidade recebeu o identificador CVE-2026-120422.
Fontes: The Hacker News.