Um threat actor ligado à China, conhecido como SlippyNunchucks, foi associado a uma operação de sequestro de DNS que explora comunicações HTTP inseguras em versões para Windows do Sogou Input Method. A campanha de vigilância busca instalar um implante chamado DarkVigil, também conhecido como FDMTP.
Observada desde 1º de julho de 2026, a campanha teria como alvo organizações e pessoas de língua chinesa em Hong Kong, na Tailândia, no Japão, no Vietnã, em Omã e no Sri Lanka, segundo a ESET.
“Os implantes DarkVigil costumam ser instalados por meio de aplicativos chineses populares”, afirmou o pesquisador da ESET Anh Ho, em relatório publicado pelo The Hacker News. “Ao abusar desses aplicativos, o threat actor SlippyNunchucks conseguiu alcançar usuários de língua chinesa na Ásia e na Europa.”
Entre os aplicativos explorados pelo grupo estão Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam e tawk.to.
Ativo desde pelo menos 15 de setembro de 2023, o SlippyNunchucks é conhecido por atacar organizações e pessoas de língua chinesa no sul e no leste da Ásia. As investidas levaram à instalação de um framework modular em .NET, que inclui o DarkVigil e mais de 20 plugins.
Embora o uso do backdoor já tenha sido associado ao Mustang Panda, a ESET afirmou não ter encontrado em sua telemetria sobreposições táticas entre esse threat actor e as atividades relacionadas ao DarkVigil. Por isso, a empresa classificou o grupo como um conjunto de intrusão distinto.
Em agosto deste ano, a equipe de resposta a incidentes FortiGuard, da Fortinet, detalhou o comprometimento da supply chain da ferramenta QuickFox, usada para VPN e aceleração de rede, com o objetivo de distribuir o DarkVigil.
Segundo a empresa eslovaca de cibersegurança, o grupo passou a explorar o Sogou Input Method, um popular editor de método de entrada em chinês desenvolvido pela Tencent, como vetor de distribuição três dias depois de a QuickFox lançar uma versão limpa do programa.
O ataque sequestra o mecanismo de promoção de vocabulário usado pelo aplicativo para fornecer uma configuração maliciosa. Isso abre caminho para a instalação do malware por meio do SGTool.exe, um componente legítimo do Sogou Input Method que funciona como um distribuidor de tarefas multifuncional.
Em condições normais, o executável envia uma solicitação HTTP ao endereço “config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php” para obter uma configuração. No ataque identificado pela ESET, porém, a resolução DNS do domínio é adulterada para apontar para um de dois servidores de preparação:
- 47.239.250[.]102 (sogou-cdn[.]com)
- 47.237.122[.]175 (dev.soft-png-cdn.com)
Com o sequestro de DNS, as solicitações HTTP ao endereço “getBrandScd.php” foram redirecionadas para um dos servidores de preparação, que respondeu com uma configuração maliciosa. Em seguida, a configuração instruiu o arquivo binário a baixar dois payloads adicionais de “sogou-cdn[.]com” e iniciar o malware por meio de DLL sideloading:
- Um executável legítimo da Adobe, “biz_helper.exe”
- Uma DLL maliciosa, “libcef.dll”, que contém o DarkVigil
O DarkVigil se destaca pelo uso do Protocolo de Transporte de Mensagens Duplex (DMTP) para comunicação C2. Com isso, o cliente pode executar e coordenar plugins recebidos de um servidor controlado pelo atacante, facilitando a persistência ou a coleta de dados.
Após a divulgação coordenada, a Tencent corrigiu a vulnerabilidade, identificada como
CVE-2026-120422
, na versão 16.10, lançada em 29 de outubro de 2026. A correção migrou as solicitações HTTP afetadas para HTTPS.
A suspeita é de que o SlippyNunchucks opere em alinhamento com os interesses do governo chinês. A ESET descreveu as atividades do grupo como uma operação de vigilância patrocinada por um Estado.
“Embora o SlippyNunchucks ataque organizações e pessoas de vários setores, identificamos uma atividade de vigilância significativa contra uma organização que opera plataformas de apostas on-line em chinês no Sri Lanka, em Hong Kong e nas Filipinas”, afirmou a ESET.
“Esse alvo chama a atenção diante das restrições da China ao jogo, que incluem punições criminais para quem administra empresas de apostas ou organiza viagens de cidadãos chineses ao exterior para jogar.”
Esta não é a primeira vez que threat actors ligados à China transformam o Sogou Input Method em ponto de entrada para distribuir malware. Em setembro de 2026, a Gen Digital informou que a UNC3569 explorou uma vulnerabilidade já corrigida no editor de método de entrada, identificada como CVE-2026-51990, para distribuir um backdoor chamado GRAYRABBIT por meio de um link criado para esse fim.
“A vulnerabilidade combina três falhas distintas em um exploit acionado com um único clique: injeção de argumentos na linha de comando sem validação no manipulador do protocolo personalizado sgbiz:, navegação irrestrita de URLs em um WebView baseado em CEF e um mecanismo de navegador Chromium extremamente desatualizado e sem sandbox, vulnerável à
CVE-2021-38003
”, afirmou a Gen Digital.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...