Tencent tarafından geliştirilen Sogou Input Method’un Windows sürümlerinde güvenli olmayan HTTP iletişimini kullanan saldırganlar, DNS ele geçirme operasyonuyla kötü amaçlı yapılandırmaları kullanıcılara dağıtabildi. Güvenlik uzmanları, uygulamanın bu zafiyetini tespit ederek analiz etti.
Saldırının arkasında Çin bağlantılı SlippyNunchucks adlı APT grubu bulunuyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ile Çince konuşan kişileri hedef aldı. Grup, Asya ve Avrupa genelinde başka kullanıcılara da ulaşabildi.
Sogou Input Method, bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için kullanılan yaygın giriş yöntemi düzenleyicilerinden biri olarak biliniyor. Güvenlik uzmanları, sorunu belirledikten kısa süre sonra Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Uygulamanın daha önce de tehdit istihbaratı araştırmalarında yer aldığı kaydedildi.
Tencent, CVE-2026-120422 açığına yönelik bir yama yayımladı. Sogou Input Method’un 16.10 sürümünde etkilenen HTTP istekleri HTTPS’e taşınıyor. TLS sertifika doğrulamasının zorunlu hâle getirilmesi, DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
DarkVigil araç seti, FDMTP olarak da biliniyor ve uzmanlar tarafından 2025’in başından beri takip ediliyor. Araç setinin kütüphane başvurularında yer alan Vigil adı, kötü amaçlı yazılım çerçevesinin dahilî adından geliyor. Güvenlik uzmanları ayrıca implantın sızdırdığı verilerin yönetildiği, Vigil logosunu taşıyan bir web yönetim paneli tespit etti.
SlippyNunchucks en az 2023’ten bu yana aktif. Grubun faaliyetleri, DarkVigil araç setinin yerleştirilmesi ve kullanılması etrafında şekilleniyor. Ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alan grup; Almanya, Rusya, Birleşik Krallık ve Avusturya gibi Avrupa’daki yerlerdeki kişileri de zaman zaman hedefledi.
Kaynak: CNN Türk Teknoloji
