Kısaca
- Siber güvenlik firması ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan Çince klavye uygulamasındaki güvenlik açığını istismar ettiğini ortaya çıkardı.
- Grup, uygulama üzerinden kötü amaçlı yazılım dağıttı ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun Tencent tarafından geliştirilen Sogou Input Method uygulamasındaki güvenlik açığını kullanarak farklı ülkelerdeki kullanıcıları hedef aldığını açıkladı. ESET araştırmacıları, grubun uygulama üzerinden kötü amaçlı yazılım dağıttığı ve kullanıcıların internet bağlantılarını yönlendirdiği bir operasyon tespit etti.
ESET Research, Tencent’in Windows sürümlerindeki Sogou Input Method uygulamasında güvensiz HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu tespit ederek analiz etti. Kampanyanın arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor.
DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaştığı belirtildi.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediklerini söyledi. Ho, ayrıntılı incelemede uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiğini belirtti. Bu yapılandırmanın, yüklerin uygulamanın mevcut iş akışları aracılığıyla çalıştırılabileceği konumlara yerleştirilmesini sağladığını ifade etti.
Sogou Input Method, bilgisayar ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri. ESET, operasyonu ortaya çıkardıktan kısa süre sonra kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti.
Tencent, CVE-2026-120422 açığını gidermek için bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu giderdi. Değişiklik, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttı.
ESET Research, DarkVigil araç setini (FDMTP olarak da bilinen) 2025’in başından beri takip ediyor. Adı, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dahili adı Vigil’den geliyor. ESET ayrıca sızdırılan verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo bulunuyor.
SlippyNunchucks’ın en az 2023’ten bu yana aktif olduğu ve casusluk faaliyetlerinin DarkVigil araç setinin yerleştirilmesi ve kullanımı etrafında şekillendiği belirtiliyor. Grup ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alıyor; zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya dahil Avrupa’daki kurbanları da hedef aldı.
ESET, DarkVigil ile ilişkili faaliyetleri SlippyNunchucks adıyla takip ediyor. Kamuya açık bazı raporların DarkVigil’i Mustang Panda (Twill Typhoon olarak da bilinen) ile ilişkilendirdiğini belirten ESET, telemetrisinde iki grup arasında herhangi bir örtüşme görmediğini bildirdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
