Tencent corrige Sogou após sequestro de DNS implantar DarkVigil
O grupo SlippyNunchucks, avaliado pela ESET com alta confiança como alinhado a interesses do governo chinês, sequestrou requisições DNS para transformar a função de promoção de marca do Sogou Input Method no Windows em canal de entrega do backdoor de vigilância DarkVigil (FDMTP), em campanha desde 1º de julho de 2026 com vítimas em seis países. A Tencent corrigiu o canal na versão 16.10, do fim de outubro, com HTTPS e fixação de certificado, mas a ESET afirma que o downloader ainda não valida tipos de arquivo baixados. Atualize o Sogou no Windows e revise DNS e roteadores da rede.
O que aconteceu
O grupo batizado SlippyNunchucks, avaliado pela ESET como alinhado a interesses do governo chinês, sequestrou requisições DNS do Sogou Input Method para Windows e usou a função de promoção de marca do próprio aplicativo para instalar o backdoor de vigilância DarkVigil (FDMTP). A campanha começou em 1º de julho de 2026 e atingiu usuários em seis países. A Tencent corrigiu o canal abusado na versão 16.10, lançada no fim de outubro.
Por que importa
O implante chegava pelo fluxo normal do aplicativo legítimo e ganhava persistência sem mecanismo separado; a ferramenta é modular, com mais de 20 plugins. Vítimas citadas pela ESET incluem uma multinacional de jogos de azar, um cyber café em Dubai e um estudante universitário, sem contagem de vítimas. O ponto onde o DNS foi manipulado segue desconhecido, com hipóteses de roteadores comprometidos ou interceptação em nível de provedor.
O que fazer
Atualizar o Sogou Input Method no Windows para a versão 16.10 ou superior, que usa HTTPS com fixação de certificado. Inventariar estações com o teclado instalado e procurar o implante DarkVigil (FDMTP). Revisar configurações de DNS em roteadores e tráfego HTTP não criptografado.
Para o time técnico
- Afetados
- Tencent Sogou Input Method (versões para Windows) · Sogou Input Method para Windows, versões anteriores à 16.10 (teclado de propriedade da Tencent).
- Exploração
- Implantação relatada pela ESET (pesquisador Anh Ho, pesquisa publicada em 4 de novembro de 2026): campanha desde 1º de julho de 2026, com vítimas em Hong Kong, Tailândia, Japão, Vietnã, Sri Lanka e Omã; atividade do grupo rastreada até pelo menos 15 de setembro de 2023. Sem contagem de vítimas e sem PoC pública citada.
- Correção
- Sogou Input Method 16.10 (fim de outubro de 2026): requisições afetadas movidas para HTTPS e fixação de certificado habilitada. ESET notificou a Tencent em 11 de setembro de 2026; a Tencent reconheceu em 21 de setembro de 2026. A ESET afirma que o componente downloader ainda não valida tipos de arquivo baixados nem restringe onde são salvos.
- Vetor
- Um componente do Sogou Input Method para Windows buscava configuração de promoção de marca em servidor Sogou por HTTP sem criptografia. Sequestro de DNS redirecionava as requisições a servidores dos atacantes, que devolviam configuração maliciosa instruindo o app a baixar o implante DarkVigil e gravá-lo onde componentes do próprio Sogou o executariam, dando persistência sem mecanismo separado. Condição de exploração: controle da resolução DNS do cliente; local da manipulação desconhecido (roteadores com DNS malicioso, roteadores comprometidos ou interceptação em nível de provedor, segundo ESET).
- Mais detalhes
- DarkVigil (FDMTP) é um toolset .NET modular com mais de 20 plugins. A Darktrace ligou o FDMTP ao Mustang Panda com confiança moderada; a ESET diz que sua telemetria não mostra sobreposição e rastreia o SlippyNunchucks separadamente. Método de distribuição anterior do grupo: comprometimento de cadeia de suprimentos do QuickFox. Vítimas citadas: multinacional de jogos de azar (Sri Lanka, Filipinas e Hong Kong), cyber café em Dubai e estudante universitário na Dinamarca. A ESET liga o alvo de jogos de azar às restrições da China e ao apoio de grupos alinhados à China a ações policiais contra chineses ligados a fraudes regionais.
Linha do tempo
Grupo é nomeado como SlippyNunchucks; após o sequestro de DNS, promoções da marca Sogou serviram de canal de distribuição de malware.
Campanha é atribuída ao grupo SlippyNunchucks: sequestro de DNS abusa de comunicações HTTP inseguras no Sogou para Windows para implantar o backdoor DarkVigil (FDMTP), observada desde 1º de julho de 2026.
Primeiro registro: relatório de segurança descreve a falha do Sogou Input Method explorada para implantar o DarkVigil.
Fontes 3 fontes
- @TheHackersNews @TheHackersNews
- China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor The Hacker News
- China-Aligned Group Abuses Sogou Input Method to Deliver Malware Infosecurity Magazine
