A ESET atribuiu ao grupo SlippyNunchucks, alinhado à China, uma operação de sequestro de DNS no Sogou Input Method usada para distribuir o backdoor DarkVigil a usuários de seis países desde 1º de julho. Segundo a pesquisa publicada em 4 de novembro, o grupo abusou do uso de comunicações HTTP inseguras nas versões para Windows do aplicativo de entrada de texto, que pertence à Tencent e é popular entre usuários de chinês. A Tencent corrigiu a falha na versão 16.10, e a ESET diz que outras preocupações permanecem.
De acordo com a ESET, o ataque redirecionava para servidores dos invasores o mecanismo de promoção de marca do aplicativo, que faz consultas de rede para exibir conteúdo, e a partir dele entregava o DarkVigil, também conhecido como FDMTP, um conjunto de ferramentas modular em .NET com mais de 20 plugins. A quantidade e a distribuição geográfica das vítimas levaram os pesquisadores a suspeitar inicialmente de um exploit, e a atividade em torno do Sogou veio logo depois de uma campanha de comprometimento de cadeia de suprimentos do QuickFox, outro aplicativo também abusado pelo grupo, junto com QingTalk, MiYunChat, SoftCam e tawk.to. Em uma das etapas, uma DLL maliciosa chamada libcef.dll continha o DarkVigil, e a ESET classifica o grupo como alinhado à China, sem atribuí-lo a uma agência ou a um país específico.
Para a segurança de software, o caso mostra que mecanismos de atualização e de promoção que se comunicam por HTTP sem proteção permitem a quem controla o DNS ou a rota de rede da vítima entregar código sem precisar explorar uma vulnerabilidade tradicional. A correção da Tencent na versão 16.10 reduz esse vetor para quem atualizar o programa, enquanto a observação da ESET de que outras preocupações permanecem indica que a pesquisa não considera o assunto encerrado, e os detalhes dessas pendências ainda não são públicos nas coberturas consultadas. Para administradores, as recomendações divulgadas incluem atualizar o Sogou Input Method para a versão 16.10 e procurar os indicadores de comprometimento listados no relatório da ESET.