ESET, Çin bağlantılı siber saldırı grubu SlippyNunchucks’ın yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını açıkladı. Araştırmacılar, grubun uygulama üzerinden kötü amaçlı yazılım dağıttığı ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiği bir operasyon tespit etti. Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
ESET Research, Tencent tarafından geliştirilen Sogou Input Method uygulamasının Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu tespit ederek analiz etti. DarkVigil kötü amaçlı yazılım ekosistemini işleten SlippyNunchucks, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grup, Asya ve Avrupa genelindeki kullanıcılara da ulaştı.
Operasyonu ve güvenlik açığını keşfeden ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediklerini belirtti. İncelemede, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı yapılandırma sunmak üzere ele geçirildiği ortaya çıktı.
Ho’nun aktardığına göre yapılandırma, yüklerin Sogou Input Method’un mevcut iş akışları aracılığıyla çalıştırılabileceği belirli konumlara yerleştirilmesini sağlıyor. Meşru bir Sogou Input Method bileşeni olan SGTool.exe, çok amaçlı bir görev dağıtıcısı işlevi görüyor.
Sogou Input Method, Sogou Pinyin adıyla da biliniyor ve bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için yaygın olarak kullanılan giriş yöntemi düzenleyicilerinden biri. Uygulama daha önce de tehdit istihbaratı araştırmalarında yer aldı.
ESET, operasyonu tespit ettikten kısa süre sonra kötüye kullanımı bildirmek ve bulgularını paylaşmak üzere Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent, CVE-2026-120422 açığını gidermek için bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyor ve TLS sertifika doğrulamasını zorunlu kılıyor. Bu değişiklik, DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
ESET Research, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025’in başından beri takip ediyor. DarkVigil adı, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhilî Vigil adından geliyor. ESET, implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo yer alıyor.
SlippyNunchucks en az 2023’ten bu yana aktif. Grubun siber casusluk faaliyetleri, DarkVigil araç setinin yerleştirilmesi ve kullanılması etrafında şekilleniyor. Grup ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alıyor; zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişiler de dâhil olmak üzere Avrupa’daki kurbanlara da yöneliyor.
ESET telemetrisinde DarkVigil ile ilişkili faaliyetler, operasyonları bu araç setinin yerleştirilmesi ve kullanılması üzerine kurulu bir APT grubuna işaret eden ayrı bir küme oluşturuyor. ESET, bu tehdit aktörünü SlippyNunchucks adıyla takip ediyor. DarkVigil’i Mustang Panda’ya (Twill Typhoon olarak da biliniyor) atfeden kamuya açık raporların aksine, ESET telemetrisi DarkVigil ile ilişkili faaliyetler ve Mustang Panda faaliyetleri arasında herhangi bir örtüşme ortaya koymadı.
