Обычная клавиатура для ввода иероглифов стала каналом доставки шпионского ПО. Группировка SlippyNunchucks подменила сетевые ответы Sogou Input Method для Windows и заставила приложение запускать бэкдор DarkVigil. ESET зафиксировала реальные заражения с 1 июля 2026 года. Разработчик Sogou, компания Tencent, уже выпустил исправление.
Злоумышленники меняли DNS-ответ для официального домена config.pinyin.sogou.com, направляя запросы на собственный сервер. Компонент SGTool.exe получал конфигурацию по обычному HTTP, поэтому поддельный сервер мог выдавать вредоносные настройки. Специалисты ESET выяснили механизм атаки, но пока не установили, на каком участке сети преступники перехватывали DNS-запросы.
Подменённый запрос относился к продвижению брендов во встроенных словарях Sogou. Программа загружала настройки небольших значков рядом с подсказками для ввода текста. Вместо изображения сервер возвращал команды на скачивание посторонних файлов. Конфигурация была зашифрована, но ключ находился внутри самой программы и не мешал злоумышленникам подделать ответ.
Вредоносная конфигурация заставляла Sogou скачивать подписанную программу Adobe и библиотеку libcef.dll с DarkVigil. Файлы попадали в служебные каталоги, после чего легитимная программа подхватывала подложную DLL и запускала шпионский код. Атакующие подставляли нужные контрольные суммы MD5, чтобы пройти проверку загруженных файлов.
Заражения ESET обнаружила в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке. Среди целей оказались компании и частные лица. Особенно активную слежку зафиксировали в отношении оператора онлайн-ставок, работавшего в нескольких странах Азии. Число пострадавших не раскрывается, а точка вмешательства в работу DNS остаётся неизвестной.
DarkVigil представляет собой шпионский инструмент на .NET с более чем 20 известными модулями. Для связи с управляющим сервером применяется протокол DMTP. Ранее SlippyNunchucks распространяла вредонос через взломанный канал обновлений QuickFox. Через три дня после выпуска чистой версии QuickFox заражения через Sogou уже фиксировались. В сентябре Sogou атаковали через подготовленные ссылки.
Уязвимость получила номер CVE-2026-120422 и оценку 8,9 балла по CVSS 4.0, что соответствует высокому уровню опасности. ESET уведомила Tencent 11 сентября. Разработчик выпустил Sogou Input Method 16.10 30 октября, заменив уязвимые HTTP-запросы соединениями HTTPS с дополнительной проверкой сертификата. В журнале изменений Tencent подтвердила исправление проблем безопасности.
Обновление закрывает описанный канал подмены настроек, но у SGTool.exe остаются недостатки. ESET рекомендует проверять типы загружаемых файлов и ограничивать каталоги для записи. Без таких ограничений приложение может сохранять исполняемый код вместо значков словаря. В ходе изученной атаки преступники использовали штатные функции Sogou, а не захватывали серверы Tencent.