Çin Destekli Hackerlar Sogou Giriş Yöntemi DNS İsteklerini Ele Geçirerek DarkVigil Arka Kapısını Dağıttı

Çin Destekli Hackerlar Sogou Giriş Yöntemi DNS İsteklerini Ele Geçirerek DarkVigil Arka Kapısını Dağıttı

SlippyNunchucks adlı Çin destekli bir tehdit aktörü, Sogou Giriş Yöntemi’nin Windows sürümlerindeki güvenli olmayan HTTP iletişimlerini kötüye kullandı. Bu, bir Alan Adı Sistemi (DNS) ele geçirme operasyonuyla ilişkilendirildi. Operasyon, DarkVigil (FDMTP olarak da bilinir) adlı kötü amaçlı yazılımı dağıtmayı amaçlayan bir gözetim kampanyasının parçasıydı.

ESET’e göre, 1 Temmuz 2026’da başlayan bu kampanya, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan bireyleri hedef aldı.

ESET araştırmacısı Anh Ho, The Hacker News ile paylaşılan bir raporda şunları söyledi: “DarkVigil kötü amaçlı yazılımları genellikle popüler Çince uygulamalar aracılığıyla dağıtılır. Bu uygulamaları kötüye kullanarak, SlippyNunchucks tehdit aktörü Asya ve Avrupa’daki Çince konuşan kullanıcılara ulaşabildi.” Saldırganın kötüye kullandığı uygulamalar arasında Sogou Giriş Yöntemi, QuickFox, QingTalk, MiYunChat, SoftCam ve tawk.to bulunuyor.

En az 15 Eylül 2023’ten beri aktif olan SlippyNunchucks, Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan bireyleri hedef almasıyla tanınıyor. Bu saldırılar, DarkVigil ve 20’den fazla eklenti içeren modüler bir .NET çerçevesinin dağıtılmasına yol açtı.

Arka kapının kullanımı daha önce Mustang Panda ile ilişkilendirilmişti. Ancak ESET, tehdit aktörü ile DarkVigil ile ilgili etkinlik arasında telemetrisinde taktiksel bir örtüşme bulamadı. Bu nedenle ESET, grubu ayrı bir saldırı grubu olarak sınıflandırdı.

QuickFox VPN ve Sogou Giriş Yöntemi Hedef Alındı

Bu Ağustos ayının başlarında, Fortinet’in FortiGuard Olay Müdahale Ekibi, tehdit aktörünün QuickFox VPN ve ağ hızlandırma aracının tedarik zinciri saldırısını DarkVigil’i dağıtmak için kullandığını detaylandırdı.

Slovak siber güvenlik şirketine göre, saldırgan, QuickFox’un programının temiz bir sürümünü yayınlamasından üç gün sonra, Tencent tarafından geliştirilen popüler bir Çince giriş yöntemi düzenleyicisi olan Sogou Giriş Yöntemi’ni bir dağıtım vektörü olarak kullanmaya başladı.

Saldırı, uygulamanın markalı kelime dağarcığı tanıtım mekanizmasını ele geçirerek kötü amaçlı bir yapılandırma sunmayı içeriyor. Bu yapılandırma, çok amaçlı bir görev dağıtıcısı olarak işlev gören meşru bir Sogou Giriş Yöntemi bileşeni olan SGTool.exe aracılığıyla kötü amaçlı yazılımın dağıtılmasına zemin hazırlıyor.

Temiz bir ortamda, yürütülebilir dosya bir yapılandırma almak için “config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php” uç noktasına bir HTTP isteği gönderir. Ancak ESET tarafından keşfedilen saldırıda, alan adının DNS çözümü değiştirildi. Bu, onu iki hazırlık sunucusundan birine yönlendirdi:

• 47.239.250[.]102 (sogou-cdn[.]com)
• 47.237.122[.]175 (dev.soft-png-cdn.com)

Bu DNS ele geçirme sonucunda, “getBrandScd.php” uç noktasına yapılan HTTP istekleri, kötü amaçlı bir yapılandırmayla yanıt veren hazırlık sunucularından birine yönlendirildi. Yapılandırma ise, ikiliye “sogou-cdn[.]com” adresinden iki ek yük indirmesini ve DLL yan yüklemesi yoluyla kötü amaçlı yazılımı başlatmasını emretti:

• Meşru bir Adobe yürütülebilir dosyası (“biz_helper.exe”)
• DarkVigil içeren sahte bir DLL (“libcef.dll”)

DarkVigil, komuta ve kontrol (C2) için Duplex Mesaj Taşıma Protokolü (DMTP) kullanmasıyla dikkat çekiyor. Bu, istemcinin saldırgan tarafından kontrol edilen bir sunucudan alınan eklentileri yürütmesine ve düzenlemesine olanak tanıyor. Böylece kalıcılık veya veri toplama kolaylaşıyor.

Sorumlu açıklamanın ardından Tencent, 29 Ekim 2026’da yayınlanan 16.10 sürümünde etkilenen HTTP isteklerini HTTPS’ye taşıyarak güvenlik açığını (CVE-2026-120422) giderdi.

SlippyNunchucks’ın Hedefleri ve Motivasyonları

SlippyNunchucks’ın Çin hükümetinin çıkarlarını gözeterek faaliyet gösterdiğinden şüpheleniliyor. ESET bunu bir ulus devlet gözetim çabası olarak tanımlıyor.

ESET, “SlippyNunchucks birden fazla sektördeki kuruluşları ve bireyleri hedef alsa da, Sri Lanka, Hong Kong ve Filipinler’de Çince çevrimiçi bahis platformları işleten bir kuruluşa karşı önemli gözetim faaliyeti keşfettik” dedi. “Bu kuruluşun hedef alınması, Çin’in kumar üzerindeki kısıtlamaları göz önüne alındığında dikkat çekicidir. Bu kısıtlamalar, kumar işletmelerini işletmek ve Çin vatandaşlarını yurt dışında kumar oynamaya organize etmek için cezai yaptırımlar içermektedir.”

Çin bağlantılı tehdit aktörlerinin Sogou Giriş Yöntemi’ni kötü amaçlı yazılım dağıtımı için bir giriş noktası olarak kullanması ilk kez olmuyor. Eylül 2026’da Gen Digital, giriş yöntemi düzenleyicisindeki (CVE-2026-51990) şimdi yamalanmış bir güvenlik açığının UNC3569 tarafından kullanıldığını belirtti. Bu, özel olarak hazırlanmış bir bağlantı aracılığıyla GRAYRABBIT adlı bir arka kapıyı dağıtmak içindi.

Gen Digital, “Güvenlik açığı, üç ayrı zayıflığı tek, tek tıklamalı bir istismarda birleştiriyor: sgbiz: özel protokol işleyicisinde doğrulanmamış komut satırı argümanı enjeksiyonu, CEF tabanlı bir WebView’de sınırsız URL navigasyonu ve ciddi şekilde güncel olmayan, korumasız bir Chromium tarayıcı motoru [CVE-2021-38003’e karşı savunmasız]” dedi.