SlippyNunchucks подменяла DNS и распространяла бэкдор DarkVigil через Sogou Input Method
Китайская группа SlippyNunchucks подменяла DNS-запросы Windows-версии Sogou Input Method, чтобы развернуть бэкдор DarkVigil. По данным ESET, кампания стартовала 1 июля 2026 года и затронула организации и китайскоязычных пользователей в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке.
Главное в цифрах
- Начало кампании: 1 июля 2026 года
- Затронутые страны: Гонконг, Таиланд, Япония, Вьетнам, Оман, Шри-Ланка
- Активность группы SlippyNunchucks: с 15 сентября 2023 года
- Исправление: Sogou Input Method 16.10 от 29 октября 2026 года (CVE-2026-120422)
Группа SlippyNunchucks работает как минимум с 15 сентября 2023 года и известна атаками на организации и китайскоязычных людей в Южной и Восточной Азии. Её инструмент, модульный .NET-фреймворк DarkVigil, сопровождается набором из более чем 20 плагинов. Ранее ESET связывала использование этого бэкдора с Mustang Panda, но в телеметрии компании не нашлось тактических совпадений, поэтому исследователи относят группу к отдельному набору вторжений.
Это не первый случай, когда популярное китайское ПО используется как канал доставки. В августе Fortinet описала компрометацию VPN-инструмента QuickFox, через который распространялся DarkVigil. По данным ESET, через три дня после выпуска чистой версии QuickFox злоумышленники переключились на Sogou Input Method, редактор методов ввода от Tencent.
Как работала атака
Атака использовала механизм продвижения брендовых словарей в Sogou Input Method. Исполняемый файл SGTool.exe, легитимный компонент программы, отправлял HTTP-запрос к config.pinyin.sogou.com за конфигурацией. Из-за подмены DNS запрос уходил на один из двух промежуточных серверов злоумышленников, которые отвечали вредоносной конфигурацией.
Конфигурация приказывала загрузить два дополнительных файла с домена sogou-cdn.com и запустить вредонос через DLL sideloading. DarkVigil использует протокол Duplex Message Transport Protocol (DMTP) для управления, что позволяет выполнять и координировать плагины, загруженные с сервера злоумышленников.
Tencent устранила уязвимость (CVE-2026-120422) в версии 16.10, выпущенной 29 октября 2026 года, перенеся незащищённые HTTP-запросы на HTTPS.
Цели и контекст
ESET считает SlippyNunchucks инструментом слежки, которая, вероятно, ведётся в интересах китайского государства. Исследователи отметили слежку за организацией, которая работает с китайскоязычными онлайн-платформами ставок в Шри-Ланке, Гонконге и на Филиппинах. По словам ESET, это заметно, учитывая запреты Китая на азартные игры, включая уголовную ответственность за организацию игорного бизнеса.
В сентябре 2026 года Gen Digital сообщила о другой уязвимости Sogou Input Method (CVE-2026-51990), которую группа UNC3569 использовала для доставки бэкдора GRAYRABBIT через специально оформленную ссылку. Уязвимость, по данным Gen Digital, объединяет три слабости в один эксплойт с одним кликом.
