Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun Çince bir klavye uygulamasındaki güvenlik açığını kullanarak farklı ülkelerdeki kullanıcıları hedef aldığını ortaya çıkardı.
- Saldırıların arkasında, DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan SlippyNunchucks grubunun bulunduğu belirtildi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı SlippyNunchucks grubunun yaygın kullanılan Sogou Input Method uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını duyurdu. Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
ESET araştırmacıları, grubun uygulama üzerinden kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiğini tespit etti.
ESET Research, Tencent’in geliştirdiği Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu inceledi. Bu kampanyanın arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks yer alıyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ile Çince konuşan kişileri hedef aldı. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği belirtildi.
Saldırının işleyişi
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediklerini belirtti. Ayrıntılı incelemede, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiği ortaya çıktı. Bu yapılandırmanın, yükleri uygulamanın mevcut iş akışları aracılığıyla çalıştırılabilecekleri konumlara yerleştirmeyi hedeflediği anlatıldı. Ho, SGTool.exe’nin çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir bileşen olduğunu söyledi.
Sogou Input Method, bilgisayar ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri olarak biliniyor.
Güvenlik açığının kapatılması
ESET, operasyonu ortaya çıkardıktan kısa süre sonra Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in hızla yanıt verdiği ve CVE-2026-120422 açığını gidermek için bir yama yayımladığı bildirildi. Uygulamanın 16.10 sürümünün, etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu giderdiği aktarıldı. Bu değişikliğin, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttığı belirtildi.
DarkVigil ve grubun geçmişi
ESET Research, DarkVigil araç setini (FDMTP olarak da bilinir) 2025’in başından beri takip ediyor. Adının, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhili adı Vigil’den geldiği belirtildi. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti; panelde Vigil adını taşıyan bir logo yer alıyor.
SlippyNunchucks’ın en az 2023’ten bu yana aktif olduğu, siber casusluk faaliyetlerinin ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşlara ve Çince konuşan kişilere yönelik olduğu bildirildi. Grubun zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişileri de hedef aldığı aktarıldı. ESET, DarkVigil ile ilişkili faaliyetlerin Mustang Panda (Twill Typhoon olarak da bilinir) ile herhangi bir örtüşme göstermediğini, kamuya açık bazı raporların aksine, belirtti.
Kaynak: (BYZHA) Beyaz Haber Ajansı
