Siber güvenlik şirketi ESET, Çin bağlantılı SlippyNunchucks adlı tehdit grubunun, Tencent’in geliştirdiği Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar ettiğini açıkladı. ESET araştırmacılarına göre grup, uygulama üzerinden kötü amaçlı yazılım dağıttı. Tencent ise açığı kapatan bir güncelleme yayımladı.
- Saldırı, Sogou Input Method’un HTTP iletişimini hedef alan bir DNS ele geçirme operasyonuna dayanıyor.
- Açık CVE-2026-120422 koduyla takip ediliyor.
- Uygulamanın 16.10 sürümü etkilenen HTTP isteklerini HTTPS’e taşıyor.
Saldırı nasıl gerçekleşti?
ESET Research’ün analizine göre grup, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteği ele geçirerek kötü amaçlı bir yapılandırma sundu. Bu yapılandırma, yükleri Sogou Input Method’un mevcut iş akışlarıyla çalıştırılabilecekleri konumlara yerleştirdi. Operasyonu ve açığı keşfeden ESET araştırmacısı Anh Ho, durumu şöyle anlattı:
“Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemledik.”
ESET’e göre SGTool.exe, çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir Sogou bileşeni. Sogou Input Method (Sogou Pinyin), Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri.
Kimler hedef alındı?
Şirketten yapılan açıklamaya göre SlippyNunchucks; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grup ayrıca Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
SlippyNunchucks ve DarkVigil kimdir?
- Grup en az 2023’ten bu yana aktif ve siber casusluk faaliyetleri yürütüyor.
- DarkVigil araç setini (FDMTP olarak da biliniyor) yerleştirip kullanıyor; ESET bu araç setini 2025’in başından beri takip ediyor.
- Zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişiler de hedef alındı.
DarkVigil’i Mustang Panda’ya (Twill Typhoon) atfeden kamuya açık raporlara karşın ESET telemetrisi, DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme göstermedi.
Açık nasıl kapatıldı?
ESET, operasyonu ortaya çıkardıktan kısa süre sonra Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent hızla yanıt vererek CVE-2026-120422 açığını gideren bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak TLS sertifika doğrulamasını zorunlu kılıyor ve DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtma riskini azaltıyor. Sogou Input Method kullanıcılarının uygulamayı güncel tutması önem taşıyor.
Teknik ayrıntılar için ESET’in paylaştığı bağlantıya bakılabilir. Konuyla ilgili önceki gelişmeler için ESET’in MythicRatatoskr arka kapısı haberine göz atabilirsiniz.