Investigadores de la firma eslovaca ESET atribuyeron a SlippyNunchucks, un grupo de amenazas alineado con China, una operación de secuestro de DNS que aprovecha las comunicaciones HTTP sin cifrar del método de entrada Sogou en versiones para Windows. El objetivo de la campaña es desplegar un implante denominado DarkVigil, también conocido como FDMTP, en el marco de un esfuerzo de vigilancia sostenido.
Según ESET, la actividad se detectó a partir del 1 de julio de 2026 y habría tenido como blanco a organizaciones y personas de habla china en Hong Kong, Tailandia, Japón, Vietnam, Omán y Sri Lanka. "Los implantes DarkVigil suelen desplegarse a través de aplicaciones chinas de uso masivo", explicó Anh Ho, investigador de ESET, en un informe compartido con The Hacker News. "Al abusar de esas aplicaciones, el actor SlippyNunchucks ha logrado llegar a usuarios de habla china en Asia y Europa".
Entre las aplicaciones utilizadas por el adversario figuran Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam y tawk.to. SlippyNunchucks opera desde al menos el 15 de septiembre de 2023 y se caracteriza por atacar a organizaciones y a individuos de habla china en el sur y el este de Asia. Sus ataques derivaron en el despliegue de un marco modular en .NET que incluye DarkVigil y más de veinte complementos.
Aunque el uso de este backdoor se había vinculado antes con Mustang Panda, ESET indicó que no halló coincidencias tácticas entre ese actor y la actividad relacionada con DarkVigil en su telemetría, por lo que lo clasificó como un conjunto de intrusiones distinto. A comienzos de agosto de 2026, el equipo de respuesta a incidentes FortiGuard, de Fortinet, ya había documentado el compromiso de la cadena de suministro de la herramienta QuickFox VPN y de aceleración de red para distribuir DarkVigil.
De acuerdo con la compañía eslovaca, el adversario pasó a explotar Sogou Input Method, un popular editor de métodos de entrada para chino desarrollado por Tencent, como vector de entrega tres días después de que QuickFox publicara una versión limpia de su programa. El ataque consiste en secuestrar el mecanismo de promoción de vocabulario de la aplicación para servir una configuración maliciosa, lo que allana el camino para la ejecución del malware mediante SGTool.exe, un componente legítimo de Sogou Input Method que funciona como despachador de tareas múltiple.
En un entorno limpio, ese ejecutable envía una petición HTTP al endpoint "config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php" para obtener una configuración. En el ataque descubierto por ESET, la resolución DNS del dominio fue manipulada para dirigirla a uno de dos servidores de preparación: 47.239.250[.]102, asociado a sogou-cdn[.]com, y 47.237.122[.]175, asociado a dev.soft-png-cdn.com. Como resultado del secuestro de DNS, las peticiones HTTP al endpoint getBrandScd.php se enrutaron hacia uno de esos servidores, que respondió con una configuración maliciosa.
Esa configuración indica al binario que descargue dos cargas adicionales desde "sogou-cdn[.]com" y ejecute el malware mediante DLL sideloading: un ejecutable legítimo de Adobe llamado "biz_helper.exe" y una DLL fraudulenta llamada "libcef.dll" que contiene DarkVigil. Este implante destaca por emplear el Duplex Message Transport Protocol (DMTP) para el mando y control (C2), lo que permite al cliente ejecutar y orquestar complementos recibidos de un servidor controlado por el atacante, ya sea para lograr persistencia o para la recolección de datos.
Tras la divulgación responsable, Tencent corrigió la vulnerabilidad CVE-2026-120422 en la versión 16.10, publicada el 29 de octubre de 2026, al migrar las peticiones HTTP afectadas a HTTPS. ESET sospecha que SlippyNunchucks actúa en función de los intereses del gobierno chino y describe su actividad como un esfuerzo de vigilancia estatal.
"Aunque SlippyNunchucks ataca a organizaciones y personas de múltiples sectores, descubrimos una actividad de vigilancia significativa contra una organización que opera plataformas de apuestas en línea en chino en Sri Lanka, Hong Kong y Filipinas", señaló ESET. "El enfoque sobre esta organización llama la atención dada las restricciones de China al juego, que incluyen penas penales por operar negocios de apuestas y por organizar a ciudadanos chinos para apostar en el extranjero".
No es la primera vez que actores de amenazas vinculados a China convierten Sogou Input Method en una puerta de entrada para distribuir malware. En septiembre de 2026, Gen Digital informó que UNC3569 explotó una vulnerabilidad ya corregida en el editor de métodos de entrada (CVE-2026-51990) para entregar un backdoor denominado GRAYRABBIT mediante un enlace manipulado.
"La vulnerabilidad encadena tres debilidades distintas en un solo exploit de un clic: la inyección de argumentos de línea de comandos no validados en el manejador del protocolo personalizado sgbiz:, la navegación de URL sin restricciones en un WebView basado en CEF y un motor de navegador Chromium gravemente desactualizado y sin sandbox, susceptible a CVE-2021-38003", indicó Gen Digital.
Deja una respuesta