Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığını istismar ettiğini tespit etti.
- Saldırı grubu uygulama üzerinden kötü amaçlı yazılım dağıttı ve kullanıcıların internet bağlantılarını yönlendirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını açıkladı. Tencent tarafından geliştirilen uygulamanın geliştiricisi, açığı gidermek için güncelleme yayımladı.
ESET Research, Tencent’in Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu tespit ederek analiz etti. Operasyonun arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor.
Grup, DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olarak Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediğini belirtti. İnceleme, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiğini ortaya koydu. Bu yapılandırma, yüklerin uygulamanın mevcut iş akışları aracılığıyla çalıştırılabileceği konumlara yerleştirilmesini talimat veriyordu.
Sogou Input Method, bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri. ESET, kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent hızla yanıt vererek CVE-2026-120422 açığını gidermek için yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak TLS sertifika doğrulamasını zorunlu kılıyor.
ESET, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025’in başından beri takip ediyor. Ad, çerçevenin kütüphane başvurularında görülen dâhilî adı Vigil’den geliyor. ESET ayrıca verileri yönetmek için kullanılan web yönetim panelini de tespit etti.
SlippyNunchucks en az 2023’ten bu yana aktif. Grup ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alıyor; zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya dahil Avrupa’daki kurbanları da vurdu. ESET, DarkVigil faaliyetlerini Mustang Panda ile örtüştürmediğini belirtiyor; kamuya açık bazı raporların aksine bu iki grup arasında bir bağlantı görmediklerini ifade ediyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
