Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığını istismar ettiğini belirledi.
- Grup, uygulama üzerinden kötü amaçlı yazılım dağıtarak Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka başta olmak üzere birçok ülkedeki kullanıcıları hedef aldı.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun Tencent’in geliştirdiği Sogou Input Method uygulamasındaki güvenlik açığını kullanarak farklı ülkelerdeki kullanıcıları hedef aldığını ortaya çıkardı.
ESET araştırmacıları, grubun bu uygulama üzerinden kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı düzenlediğini tespit etti.
ESET Research, Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu inceleyerek analiz etti. Kampanyanın arkasında Çin bağlantılı SlippyNunchucks adlı APT grubu bulunuyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grup ayrıca Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediğini belirtti. Ayrıntılı inceleme, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak üzere ele geçirildiğini gösterdi. Ho’ya göre yapılandırma, yüklerin uygulamanın mevcut iş akışlarıyla çalıştırılabileceği konumlara yerleştirilmesini talimat veriyor. SGTool.exe’nin çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir bileşen olduğunu da ekledi.
Sogou Input Method (Sogou Pinyin olarak da bilinir), bilgisayar ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan düzenleyicilerden biri. ESET, operasyonu ortaya çıkarmasının ardından kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent hızla yanıt verdi ve CVE-2026-120422 açığını gidermek için yama yayımladı. 16.10 sürümü etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu giderdi; TLS sertifika doğrulamasının zorunlu kılınması, DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılma riskini azaltıyor.
ESET Research, DarkVigil araç setini (FDMTP olarak da bilinir) 2025’in başından beri takip ediyor. Adı, çerçevenin kütüphane başvurularında görülen dahili adı Vigil’den geliyor. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini tespit etti; panelde Vigil adını taşıyan bir logo bulunuyor.
SlippyNunchucks en az 2023’ten bu yana faaliyet gösteriyor ve siber casusluk faaliyetleri DarkVigil araç setinin yerleştirilmesi ve kullanılması etrafında şekilleniyor. Grup ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alıyor; zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya dahil Avrupa’daki kurbanları da hedef aldı. ESET telemetrisi, DarkVigil ile ilişkili faaliyetleri ayrı bir küme olarak ortaya koyuyor. Bazı kamuya açık raporların DarkVigil’i Mustang Panda’ya (Twill Typhoon olarak da bilinir) atfetmesine karşın ESET, bu faaliyetlerle Mustang Panda faaliyetleri arasında herhangi bir örtüşme görmediğini bildirdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
