Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki açığı istismar ettiğini tespit etti.
- Saldırı grubu, uygulama üzerinden kötü amaçlı yazılım dağıttı ve kullanıcıların internet bağlantılarını yönlendirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun Tencent’in geliştirdiği Sogou Input Method uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını açıkladı.
ESET araştırmacıları, SlippyNunchucks adıyla takip edilen grubun, uygulamanın Windows sürümlerindeki güvenli olmayan HTTP iletişimini kötüye kullanan bir DNS ele geçirme operasyonu yürüttüğünü belirledi. Grup, uygulama üzerinden kötü amaçlı yapılandırma dağıtarak kullanıcıların internet bağlantılarını yönlendirdi.
Analizlere göre saldırıda, uygulamanın meşru bileşeni SGTool.exe’nin kötü amaçlı yükleri Sogou Input Method’un mevcut iş akışları aracılığıyla çalıştırabileceği konumlara yerleştirmesi sağlandı. Saldırıda kullanılan DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grubun, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldığı bildirildi. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği kaydedildi.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığının gözlemlendiğini açıkladı. Ho, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin, kötü amaçlı bir yapılandırma sunmak için ele geçirildiğini belirtti.
Sogou Input Method, bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri. ESET, operasyonu ortaya çıkardıktan sonra Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in yayımladığı yama, CVE-2026-120422 açığını gideriyor. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak TLS sertifika doğrulamasını zorunlu kılıyor ve DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
ESET, DarkVigil araç setini, adını kütüphane başvurularında görülen dâhilî Vigil adından alan ve FDMTP olarak da bilinen çerçeveyi 2025’in başından beri takip ediyor. Şirket, implantın sızdırdığı verileri yöneten web panelinde de Vigil adını taşıyan bir logo tespit etti.
SlippyNunchucks’un en az 2023’ten beri aktif olduğu, siber casusluk faaliyetlerinin ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşlara ve Çince konuşan kişilere yönelik olduğu belirtiliyor. Grubun zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişileri de hedef aldığı kaydediliyor.
Daha önce kamuya açık raporlarda DarkVigil’in Mustang Panda (Twill Typhoon olarak da bilinen) grubuna atfedildiği, ancak ESET telemetrisinin iki grubun faaliyetleri arasında herhangi bir örtüşme ortaya koymadığı ifade ediliyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
