O SlippyNunchucks é um grupo de ameaça alinhado à China, ativo desde ao menos 15 de setembro de 2023, cuja atividade de ciberespionagem gira em torno do conjunto de ferramentas DarkVigil, também chamado FDMTP. A ESET o acompanha desde 2025 e avalia, com alta confiança, que ele está ligado a um esforço de vigilância de Estado alinhado aos interesses do governo chinês. Os alvos são organizações e pessoas que falam chinês, principalmente no Sul e no Leste da Ásia e, ocasionalmente, na Europa, e entre as vítimas citadas pela ESET estão uma multinacional de apostas online com operações no Sri Lanka, nas Filipinas e em Hong Kong, uma lan house em Dubai e um estudante universitário na Dinamarca.
O DarkVigil é um conjunto modular em .NET, com o implante principal e mais de 20 plugins conhecidos, construído sobre um framework interno chamado Vigil e que se comunica com o servidor de comando pelo protocolo DMTP, enquanto os plugins são enviados pelo servidor, guardados comprimidos no registro do Windows e carregados na memória. Desde 2025, o grupo usou aplicativos chineses populares para entregar o implante, entre eles Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam e tawk.to, e a ESET afirma que ele migrou para o Sogou logo depois do fim do incidente de cadeia de suprimentos do QuickFox. Na campanha do Sogou Input Method, a partir de 1º de julho de 2026, o componente SGTool.exe fazia requisições HTTP sem criptografia, e o grupo controlava a resolução DNS do domínio de configuração para entregar um binário legítimo e assinado da Adobe, renomeado, e a DLL maliciosa libcef.dll, carregada por side-loading, com vítimas vistas em Hong Kong, Tailândia, Japão, Vietnã, Omã e Sri Lanka. A ESET não sabe onde o DNS era manipulado, e as hipóteses são roteadores comprometidos, roteadores com implante ou interceptação no nível do provedor de internet.
Para a atribuição de ameaças, o caso mostra os limites do que se sabe: a ligação com a China é uma avaliação da ESET baseada no padrão de vítimas e táticas, e a empresa trata o grupo como um ator distinto do Mustang Panda, ao qual relatórios anteriores, incluindo uma avaliação de confiança moderada da Darktrace, associavam o DarkVigil. A ESET reportou o problema à Tencent em 11 de setembro, a Tencent confirmou em 21 de setembro, e a correção chegou na versão 16.10, que passou as requisições para HTTPS e ativou certificate pinning, embora a ESET aponte que ainda faltam validações, como checar o tipo dos arquivos baixados e restringir os diretórios de destino. Para usuários, as recomendações são atualizar o Sogou para a versão 16.10 ou superior e verificar as configurações de DNS do roteador, e a lista de indicadores de comprometimento está no repositório da ESET no GitHub.