SlippyNunchucks abusó de Sogou Input Method para desplegar DarkVigil mediante secuestro de DNS

El grupo de ci­ber­ame­na­zas Slippy­Nun­chucks ha es­ta­do uti­li­zan­do el con­jun­to de he­rra­mien­tas Dark­Vi­gil desde al menos 2025 para lle­var a cabo ac­ti­vi­da­des de ci­ber­es­pio­na­je, en­fo­cán­do­se prin­ci­pal­men­te en or­ga­ni­za­cio­nes y per­so­nas de habla china en el sur y este de Asia, ade­más de al­gu­nos casos en Eu­ro­pa. Las ope­ra­cio­nes de este actor, al que se le atri­bu­ye una ali­nea­ción con los in­tere­ses es­ta­ta­les de China, se ca­rac­te­ri­zan por el des­plie­gue de im­plan­tes mo­du­la­res de Dark­Vi­gil a tra­vés del abuso de po­pu­la­res apli­ca­cio­nes chi­nas. Aun­que en un prin­ci­pio se re­la­cio­nó con un com­pro­mi­so en la ca­de­na de su­mi­nis­tro de Quick­Fox, las in­ves­ti­ga­cio­nes pos­te­rio­res re­ve­la­ron que los ata­can­tes tam­bién apro­ve­cha­ron Sogou Input Method para pro­pa­gar el malwa­re.

La cam­pa­ña vin­cu­la­da a Sogou Input Method im­pli­có el se­cues­tro de una so­li­ci­tud HTTP aso­cia­da con el me­ca­nis­mo de pro­mo­ción de vo­ca­bu­la­rio de la marca de la apli­ca­ción. Es­pe­cí­fi­ca­men­te, el com­po­nen­te SG­Tool.exe rea­li­za­ba pe­ti­cio­nes que fue­ron ma­ni­pu­la­das para en­tre­gar una con­fi­gu­ra­ción ma­li­cio­sa que ins­ta­la­ba pay­loads en ubi­ca­cio­nes clave. Este abuso de las co­mu­ni­ca­cio­nes HTTP in­se­gu­ras per­mi­tió que usua­rios ubi­ca­dos en di­ver­sos te­rri­to­rios re­ci­bie­ran los im­plan­tes Dark­Vi­gil mien­tras uti­li­za­ban el mé­to­do de en­tra­da, sin que se co­noz­ca con exac­ti­tud el punto exac­to donde ocu­rrió la ma­ni­pu­la­ción del DNS.

Tras co­no­cer­se la si­tua­ción, los in­ves­ti­ga­do­res se pu­sie­ron en con­tac­to con el Ten­cent Se­cu­rity Res­pon­se Cen­ter, lo que llevó a la pu­bli­ca­ción de una ac­tua­li­za­ción en la ver­sión 16.10 de la apli­ca­ción para mi­grar las so­li­ci­tu­des afec­ta­das a HTTPS y mi­ti­gar el ries­go. Por su parte, el aná­li­sis téc­ni­co de­ta­lló que el con­jun­to de he­rra­mien­tas Dark­Vi­gil opera me­dian­te un fra­me­work ba­sa­do en .NET y uti­li­za el Pro­to­co­lo de Trans­por­te de Men­sa­jes Dú­plex para las co­mu­ni­ca­cio­nes con su in­fra­es­truc­tu­ra de co­man­do y con­trol, ges­tio­nan­do la in­for­ma­ción ex­fil­tra­da a tra­vés de un panel web es­pe­cí­fi­co.