Sogou sotto attacco SlippyNunchucks: DNS hijacking diffonde DarkVigil tra utenti cinesi in Asia e oltre

Una recente campagna di cyberspionaggio ha sfruttato un punto debole nel software Sogou Input Method per Windows, uno dei metodi di input piu usati per scrivere in cinese. Gli attaccanti, associati al gruppo SlippyNunchucks, hanno condotto un attacco di DNS hijacking per dirottare le richieste verso server controllati e avviare la distribuzione del backdoor DarkVigil, noto anche come FDMTP.

Le attivita sono state osservate a partire dal 1 luglio 2026 e avrebbero colpito organizzazioni e utenti di lingua cinese in diverse aree, tra cui Hong Kong, Thailandia, Giappone, Vietnam, Oman e Sri Lanka.

Il cuore della tecnica e legato a comunicazioni HTTP non protette usate dal programma. In condizioni normali un componente legittimo chiamato SGTool.exe contatta un endpoint di configurazione per scaricare impostazioni utili alla funzione di promozione dei vocaboli brandizzati. Gli aggressori hanno alterato la risoluzione DNS del dominio previsto, facendo puntare la richiesta a server di staging alternativi. In questo modo la risposta non contiene una configurazione lecita, ma istruzioni malevole.

Una volta ricevuta la configurazione manipolata, SGTool.exe viene guidato a scaricare altri due payload da domini predisposti. Il primo e un eseguibile Adobe legittimo, usato come elemento affidabile per l avvio. Il secondo e una DLL malevola denominata libcef.dll che contiene DarkVigil. La fase di esecuzione avviene tramite DLL sideloading, una tecnica in cui un programma legittimo carica una libreria con lo stesso nome atteso, ma sostituita dall attaccante, aggirando controlli superficiali e aumentando la probabilita di evasione.

DarkVigil si distingue per l uso del Duplex Message Transport Protocol DMTP per il canale di comando e controllo. Questo consente al client compromesso di ricevere plugin e moduli aggiuntivi dal server dell attaccante, orchestrando funzioni come persistenza, raccolta dati e altre capacita modulari. La campagna si inserisce in un contesto piu ampio in cui applicazioni popolari rivolte a utenti cinesi vengono usate come vettori di distribuzione malware.

Dopo la segnalazione responsabile, la vulnerabilita identificata come CVE 2026 120422 e stata corretta con la versione 16.10 rilasciata il 29 ottobre 2026, tramite migrazione delle richieste da HTTP a HTTPS, riducendo la possibilita di manipolazione in transito e rendendo piu complesso il dirottamento basato su DNS.