Güvenlik uzmanları, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu tespit ederek analiz etti. Bu son gözetim kampanyasının arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. SlippyNunchucks ayrıca Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
Sogou Input Method (Sogou Pinyin olarak da biliniyor), bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan Çince giriş yöntemi düzenleyicilerinden biri; uygulama daha önce de tehdit istihbaratı araştırmalarında yer almıştı. Güvenlik uzmanları, operasyonu ortaya çıkardıktan kısa süre sonra kötüye kullanımı bildirmek ve bulgularını paylaşmak için Tencent Güvenlik Müdahale Merkezi (Tencent Security Response Center) ile iletişime geçti.
Tencent hızla yanıt verdi ve CVE-2026-120422 açığını gidermek için bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu gideriyor. Bu değişiklik, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
Uzmanlar, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025’in başından beri takip ediyor. DarkVigil adı, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhilî adı Vigil’den geliyor. Ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo yer alıyor.
SlippyNunchucks en az 2023’ten bu yana aktif ve siber casusluk faaliyetleri DarkVigil araç setinin (FDMTP olarak da biliniyor) yerleştirilmesi ve kullanılması etrafında şekilleniyor. Grup ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alıyor. Grup zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişiler de dâhil olmak üzere Avrupa’daki kurbanları da hedef aldı.
DarkVigil ile ilişkili faaliyetler, operasyonları bu araç setinin yerleştirilmesi ve kullanılması üzerine kurulu bir APT grubuna işaret eden ayrı bir küme oluşturuyor. Bu tehdit aktörü SlippyNunchucks adıyla takip ediliyor. DarkVigil’i Mustang Panda’ya (Twill Typhoon olarak da biliniyor) atfeden kamuya açık raporların aksine güvenlik telemetrisi, DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme ortaya koymadı.
