O agente de ameaça SlippyNunchucks, alinhado à China, foi associado a uma operação de sequestro de DNS (Sistema de Nomes de Domínio) que explora comunicações HTTP (Protocolo de Transferência de Hipertexto) inseguras nas versões para Windows do Sogou Input Method. A ação faz parte de uma campanha de espionagem voltada à instalação de um implante chamado DarkVigil (também conhecido como FDMTP).
A campanha, observada a partir de 1º de julho de 2026, teria como alvo organizações e pessoas de língua chinesa em Hong Kong, Tailândia, Japão, Vietnã, Omã e Sri Lanka, segundo a ESET.
“Os implantes DarkVigil são normalmente distribuídos por meio de aplicativos chineses populares”, afirmou o pesquisador da ESET Anh Ho em um relatório compartilhado com o The Hacker News. “Ao explorar esses aplicativos, o grupo SlippyNunchucks conseguiu alcançar usuários de língua chinesa em toda a Ásia e na Europa.”
Alguns dos aplicativos explorados pelo adversário incluem Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam e tawk.to.
Ativo desde pelo menos 15 de setembro de 2023, o SlippyNunchucks é conhecido por visar organizações e pessoas de língua chinesa no sul e no leste da Ásia. Essas ações levam à instalação de um framework modular .NET (plataforma de desenvolvimento da Microsoft) que inclui o DarkVigil e um conjunto de mais de 20 plugins.
Embora o uso da backdoor já tenha sido associado ao Mustang Panda, a ESET afirmou não ter encontrado sobreposições táticas entre o grupo e as atividades relacionadas ao DarkVigil em sua telemetria, o que a levou a classificá-lo como um conjunto de intrusão distinto.
No início de agosto, a equipe de resposta a incidentes FortiGuard, da Fortinet, detalhou o comprometimento da cadeia de suprimentos da ferramenta de VPN (rede privada virtual) e de aceleração de rede QuickFox para distribuir o DarkVigil.
Segundo a empresa de cibersegurança eslovaca, o invasor passou a explorar o Sogou Input Method, um popular editor de métodos de entrada de língua chinesa desenvolvido pela Tencent, como vetor de distribuição três dias depois de o QuickFox lançar uma versão limpa de seu programa.
Especificamente, o ataque envolve o sequestro do mecanismo de promoção de vocabulário de marca do aplicativo para entregar uma configuração maliciosa, o que, por fim, abre caminho para a instalação do malware por meio do SGTool.exe, um componente legítimo do Sogou Input Method que funciona como um despachante de tarefas multifuncional.
Em um ambiente limpo, o executável envia uma requisição HTTP ao endpoint “config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php” para obter uma configuração. No entanto, no ataque identificado pela ESET, a resolução DNS do domínio é adulterada para apontar para um dos dois servidores de staging:
- 47.239.250[.]102 (sogou-cdn[.]com)
- 47.237.122[.]175 (dev.soft-png-cdn.com)
Na prática, o sequestro de DNS fez com que as requisições HTTP ao endpoint “getBrandScd.php” fossem redirecionadas para um dos servidores de staging, que respondeu com uma configuração maliciosa. Essa configuração instrui o binário a baixar duas cargas adicionais de “sogou-cdn[.]com” e a iniciar o malware por meio de DLL sideloading (carregamento lateral de DLL):
- Um executável legítimo da Adobe (“biz_helper.exe”)
- Uma DLL falsificada (“libcef.dll”) contendo o DarkVigil
O DarkVigil se destaca pelo uso do DMTP (Protocolo de Transporte de Mensagens Duplex) para comando e controle (C2), o que permite ao cliente executar e orquestrar plugins recebidos de um servidor controlado pelo invasor, facilitando a persistência no sistema ou a coleta de dados.
Após a divulgação responsável, a Tencent corrigiu a vulnerabilidade CVE-2026-120422 (sigla de Vulnerabilidades e Exposições Comuns) na versão 16.10, lançada em 29 de outubro de 2026, migrando as requisições HTTP afetadas para HTTPS.
A ESET suspeita que o SlippyNunchucks atue com os interesses do governo chinês em mente, descrevendo-o como um esforço de vigilância de nível estatal.
“Embora o SlippyNunchucks tenha como alvo organizações e indivíduos em vários setores, identificamos atividade de vigilância significativa contra uma organização que opera plataformas de apostas online em língua chinesa no Sri Lanka, em Hong Kong e nas Filipinas”, afirmou a ESET.
“O alvo dessa organização é notável diante das restrições da China às apostas, incluindo penalidades criminais para quem opera negócios de jogos de azar e para quem organiza cidadãos chineses para apostar no exterior.”
Não é a primeira vez que agentes de ameaça vinculados à China usam o Sogou Input Method como porta de entrada para a distribuição de malware. Em setembro de 2026, a Gen Digital afirmou que uma vulnerabilidade já corrigida no editor de métodos de entrada (CVE-2026-51990) foi explorada pelo UNC3569 para distribuir uma backdoor chamada GRAYRABBIT por meio de um link especialmente criado.
“A vulnerabilidade encadeia três fragilidades distintas em uma única exploração com um clique: injeção de argumentos de linha de comando sem validação no manipulador do protocolo personalizado sgbiz:, navegação de URL sem restrições em uma WebView baseada em CEF (Chromium Embedded Framework) e um mecanismo de navegador Chromium gravemente desatualizado e sem isolamento (sandbox) [suscetível a CVE-2021-38003]”, afirmou a Gen Digital.
