Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun yaygın olarak kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını ortaya çıkardı. ESET araştırmacıları, grubun uygulama üzerinden kötü amaçlı yazılım dağıttığı ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiği bir operasyon tespit etti. Uygulamanın geliştiricisi Tencent ise güvenlik açığını kapatan bir güncelleme yayımladı.
ESET Research , Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method'un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu tespit ederek analiz etti. Bu son gözetim kampanyasının arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka'daki kuruluşları ve Çince konuşan kişileri hedef aldı. SlippyNunchucks ayrıca Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
Operasyonu ve açığı keşfeden ESET araştırmacısı Anh Ho yaptığı açıklamada şunları paylaştı: “Temmuz 2026'da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemledik. Daha ayrıntılı inceleme, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiğini ortaya koydu. Bu yapılandırma, ikili dosyaya yükleri Sogou Input Method'un mevcut iş akışları aracılığıyla çalıştırılabilecekleri belirli konumlara yerleştirmesi talimatını veriyor. SGTool.exe, çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir Sogou Input Method bileşeni.”
Sogou Input Method (Sogou Pinyin olarak da biliniyor), bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan Çince giriş yöntemi düzenleyicilerinden biri; uygulama daha önce de tehdit istihbaratı araştırmalarında yer almıştı. ESET, operasyonu ortaya çıkardıktan kısa süre sonra kötüye kullanımı bildirmek ve bulgularını paylaşmak için Tencent Güvenlik Müdahale Merkezi (Tencent Security Response Center) ile iletişime geçti. Tencent hızla yanıt verdi ve CVE-2026-120422 açığını gidermek için bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS'e taşıyarak sorunu gideriyor. Bu değişiklik, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
ESET Research, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025'in başından beri takip ediyor. DarkVigil adı, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhilî adı Vigil'den geliyor. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo yer alıyor.
SlippyNunchucks en az 2023'ten bu yana aktif ve siber casusluk faaliyetleri DarkVigil araç setinin (FDMTP olarak da biliniyor) yerleştirilmesi ve kullanılması etrafında şekilleniyor. Grup ağırlıklı olarak Güney ve Doğu Asya'daki kuruluşları ve Çince konuşan kişileri hedef alıyor. Grup zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya'daki kişiler de dâhil olmak üzere Avrupa'daki kurbanları da hedef aldı. ESET telemetrisinde DarkVigil ile ilişkili faaliyetler, operasyonları bu araç setinin yerleştirilmesi ve kullanılması üzerine kurulu bir APT grubuna işaret eden ayrı bir küme oluşturuyor. ESET bu tehdit aktörünü SlippyNunchucks adıyla takip ediyor. DarkVigil'i Mustang Panda'ya (Twill Typhoon olarak da biliniyor) atfeden kamuya açık raporların aksine ESET telemetrisi, DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme ortaya koymadı.
