Sogou Input Method'daki açık Çin'le uyumlu bir grubun casusluk saldırılarında kullanıldı

Güvenlik şirketi ESET, 4 Kasım’da yayımladığı raporda, Çin’le uyumlu olarak değerlendirdiği SlippyNunchucks adlı grubun Sogou Input Method’un Windows sürümündeki CVE-2026-120422 açığını kullanarak DarkVigil adlı arka kapıyı dağıttığını açıkladı. Sogou Input Method, Çince karakter yazmak için kullanılan en yaygın giriş yöntemi düzenleyicilerinden (IME) biri ve 2021’den beri Tencent’e ait. Açığın CVSS 4.0 puanı 8.9.

Açık

CVE kaydına göre uygulamanın SGTool.exe bileşeni bazı yapılandırma verilerini şifresiz HTTP bağlantılarıyla indiriyor. Ağ trafiğini değiştirebilen bir saldırgan sunucunun yanıtını zararlı bir yapılandırmayla değiştirebiliyor ve bu yolla kod çalıştırabiliyor. ESET’e göre SGTool.exe, uygulamanın marka tanıtım programı kapsamında config.pinyin.sogou[.]com adresindeki bir uç noktadan simge indirme yapılandırmasını HTTP ile alıyordu. ESET, SGTool.exe’nin bu sunucuya HTTP ile eriştiği 20 uç nokta bulduğunu belirtiyor.

Saldırıya uğrayan bilgisayarlarda bu alan adı, saldırganların iki sunucusundan birine yönlendirildi. Sunucu meşru yapılandırmaya benzer şekilde şifrelenmiş zararlı bir yapılandırma gönderdi. Bu yapılandırma SGTool.exe’ye, imzalı ve meşru bir Adobe dosyası ile DarkVigil’in kendisini (libcef.dll) indirip uygulamanın kendi bileşen klasörlerine yerleştirmesini söylüyordu. ESET’e göre bu dosyalar Sogou Input Method’un kendi bileşen yükleme süreçleriyle çalıştırılıyor, bu yüzden ayrıca bir kalıcılık yöntemine gerek kalmıyor.

ESET’e göre DNS yönlendirmesinin nerede yapıldığı belirlenemedi. Şirket olası yollar olarak ele geçirilmiş ve DNS ayarları değiştirilmiş yönlendiricileri, DNS isteklerini yönlendiren bir zararlı yerleştirilmiş yönlendiricileri ya da internet servis sağlayıcısı düzeyinde müdahaleyi sayıyor.

Saldırgan ve hedefler

ESET’e göre SlippyNunchucks en az 15 Eylül 2023’ten beri etkin ve Güney ve Doğu Asya’daki kurumları ve Çince konuşan kişileri hedef alıyor. Grup ara sıra Almanya, Rusya, İngiltere ve Avusturya’daki kişileri de hedef aldı. Grubun kullandığı DarkVigil (FDMTP olarak da biliniyor), 20’den fazla eklentisi olan modüler bir .NET aracı. ESET, bu aracı Mustang Panda’ya bağlayan önceki raporlardan farklı olarak kendi verilerinde iki grup arasında örtüşme görmediğini ve SlippyNunchucks’ı ayrı bir grup olarak izlediğini belirtiyor.

ESET’e göre grup daha önce QuickFox adlı VPN ve ağ hızlandırma aracının tedarik zincirini ele geçirmişti. ESET, QuickFox’un temiz bir sürüm yayımlamasından üç gün sonra, 1 Temmuz 2026’dan itibaren DarkVigil’in Sogou Input Method’un SGTool.exe bileşeni tarafından başlatıldığını görmeye başladı. Bu kampanyada Hong Kong, Tayland, Japonya, Vietnam, Sri Lanka ve Umman’daki kurbanlar hedef alındı. ESET’e göre hedefler arasında Sri Lanka, Filipinler ve Hong Kong’da Çince bahis siteleri işleten bir kuruluş da var. ESET, hedeflerin bütününe bakarak grubun Çin hükümetinin çıkarlarıyla uyumlu, devlet destekli bir gözetim çalışmasıyla bağlantılı olduğunu yüksek güvenle değerlendiriyor.

Düzeltme

ESET’in verdiği zaman çizelgesine göre şirket açığı 11 Eylül’de Tencent’e bildirdi, Tencent 21 Eylül’de yanıt verdi ve açığı Ekim sonunda yayımlanan 16.10 sürümünde kapattı. ESET’e göre bu sürüm ilgili istekleri HTTPS’e taşıyarak sertifika doğrulamasını zorunlu kılıyor. ESET’in kendi CVE numarası verme yetkisiyle açığa 2 Kasım’da CVE-2026-120422 numarası verildi. CVE kaydına göre 16.10 öncesindeki bütün Windows sürümleri etkileniyor.