ESET: Çin bağlantılı SlippyNunchucks, Sogou klavye uygulamasının HTTP trafiğini ele geçirerek DarkVigil casus yazılımı dağıttı

ESET Research, Çin bağlantılı SlippyNunchucks adlı APT grubunun, Çince yazı yazmak için yaygın kullanılan Sogou Input Method (Sogou Pinyin) uygulamasının Windows sürümündeki şifresiz HTTP iletişimini kötüye kullandığını açıkladı. ESET'in 4 Kasım tarihli açıklamasına göre grup, uygulamanın bir isteğini DNS hijacking ile ele geçirip kurbanların bilgisayarına DarkVigil (FDMTP olarak da bilinen) implant'ını yükledi.

Uygulamanın geliştiricisi Tencent, ESET'in bildirimi üzerine açığı CVE-2026-120422 kimliğiyle kapattı. 16.10 sürümü, etkilenen HTTP isteklerini HTTPS'e taşıyarak TLS sertifika doğrulamasını zorunlu kılıyor.

Saldırı nasıl işledi? ESET araştırmacılarına göre Temmuz 2026'da DarkVigil implant'larının, uygulamanın meşru bileşeni SGTool.exe tarafından başlatıldığı görüldü. İnceleme, uygulamanın marka sözlüğü tanıtım mekanizmasına ait bir isteğin ele geçirildiğini ve kurbana zararlı bir yapılandırma gönderildiğini ortaya koydu. Bu yapılandırma, payload'ların uygulamanın mevcut iş akışlarıyla çalıştırılabilecekleri konumlara yerleştirilmesini sağlıyordu.

Saldırıda bir kod açığı değil, şifresiz trafiğin araya girilerek değiştirilmesi kullanıldı. Trafiğin nerede ele geçirildiği ESET açıklamasında kesin olarak belirtilmiyor.

Kimler hedef alındı? ESET telemetrisine göre operasyon Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka'daki kurumları ve Çince konuşan bireyleri hedef aldı. ESET, grubun Asya ve Avrupa'daki kullanıcılara da ulaşabildiğini belirtiyor. Grubun en az 2023'ten beri aktif olduğu, zaman zaman Almanya, Rusya, İngiltere ve Avusturya'daki bireyleri de hedef aldığı aktarılıyor. ESET, implant'ın topladığı verilerin yönetildiği web panelini de bulduğunu açıkladı.

Türkiye'deki kullanıcıların etkilendiğine dair bir bilgi kaynakta yer almıyor.

Neden önemli? Klavye ve giriş yöntemi uygulamaları, kullanıcının yazdığı her şeye erişen ve arka planda sürekli güncelleme ya da içerik isteği yapan yazılımlardır. Bu tür bir uygulamanın tek bir şifresiz isteği, ağ yolunu kontrol eden bir saldırgan için kod çalıştırma kapısına dönüşebiliyor. Aynı uygulama daha önce başka casusluk araştırmalarında da adı geçen bir yazılım.

Ne yapılmalı? 1. Sogou Input Method kullanan kullanıcılar ve kurumlar uygulamayı en az 16.10 sürümüne güncellemeli. Windows'ta kurulu sürüm Ayarlar › Uygulamalar › Yüklü uygulamalar ekranından görülebilir; kurumlarda yazılım envanteri aracındaki sürüm raporu kontrol edilmeli. 2. Kurumsal cihazlarda iş gereği olmayan üçüncü taraf giriş yöntemi ve klavye uygulamaları envantere alınmalı, gereksizse kaldırılması değişiklik süreciyle planlanmalı. 3. EDR'de SGTool.exe gibi meşru bileşenlerin olağandışı dosya bırakma ya da süreç başlatma davranışları izlenmeli; ESET'in yayımladığı IOC'ler tehdit istihbaratı platformlarına eklenmeli. 4. Uygulamaların şifresiz HTTP üzerinden yapılandırma çektiği durumlar, proxy ve DNS loglarında ayrıca gözden geçirilmeli.