China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor

Un grupo de ac­to­res de ame­na­zas vin­cu­la­do a China, iden­ti­fi­ca­do como Slippy­Nun­chucks, ha lle­va­do a cabo una cam­pa­ña de es­pio­na­je me­dian­te el se­cues­tro de so­li­ci­tu­des de DNS que abusa de las co­mu­ni­ca­cio­nes HTTP no se­gu­ras en las ver­sio­nes para Win­dows del Mé­to­do de En­tra­da Sogou. Esta ope­ra­ti­va tiene como fi­na­li­dad la ins­ta­la­ción de un im­plan­te co­no­ci­do como Dark­Vi­gil, el cual ha afec­ta­do a usua­rios y en­ti­da­des de habla china en dis­tin­tas re­gio­nes de Asia y Eu­ro­pa a tra­vés de apli­ca­cio­nes po­pu­la­res.

El modus ope­ran­di con­sis­te en ma­ni­pu­lar la re­so­lu­ción de DNS para des­viar las pe­ti­cio­nes que el soft­wa­re rea­li­za para ob­te­ner con­fi­gu­ra­cio­nes hacia ser­vi­do­res de pre­pa­ra­ción con­tro­la­dos por los ata­can­tes. Como re­sul­ta­do, la apli­ca­ción des­car­ga car­gas úti­les adi­cio­na­les que fa­ci­li­tan la eje­cu­ción del malwa­re uti­li­zan­do com­po­nen­tes le­gí­ti­mos y téc­ni­cas de carga la­te­ral de bi­blio­te­cas di­ná­mi­cas. El im­plan­te uti­li­za un pro­to­co­lo de men­sa­jes dú­plex para el con­trol re­mo­to, per­mi­tien­do a los ata­can­tes ges­tio­nar com­ple­men­tos orien­ta­dos a la per­sis­ten­cia y la re­co­pi­la­ción de datos.

Tras una di­vul­ga­ción res­pon­sa­ble, Ten­cent so­lu­cio­nó la vul­ne­ra­bi­li­dad en una ver­sión pos­te­rior mi­gran­do las pe­ti­cio­nes HTTP afec­ta­das hacia HTTPS. Las ac­ti­vi­da­des de este grupo han mos­tra­do un en­fo­que par­ti­cu­lar en la vi­gi­lan­cia de una or­ga­ni­za­ción vin­cu­la­da a pla­ta­for­mas de apues­tas en línea en de­ter­mi­na­dos te­rri­to­rios, lo cual re­sul­ta re­le­van­te de­bi­do a las res­tric­cio­nes que exis­ten sobre este tipo de ac­ti­vi­da­des.