Nhóm tấn công SlippyNunchucks khai thác lỗ hổng trong Sogou Input Method

Nhóm tấn công SlippyNunchucks đã khai thác lỗ hổng trong Sogou Input Method để triển khai ransomware DarkVigil. Sự kiện diễn ra từ 1/7/2026, ảnh hưởng đến nhiều tổ chức và cá nhân ở châu Á. Tencent đã phát hành bản cập nhật để khắc phục vấn đề.

Nội dung chính

• Nhóm tấn công SlippyNunchucks đã khai thác lỗ hổng trong Sogou Input Method để triển khai ransomware DarkVigil.
• Sogou Input Method (Sogou Pinyin) là một trong những editor của phương pháp nhập (IME) phổ biến nhất cho viết các ký tự Trung Quốc.
• Tencent đã phát hành bản cập nhật 16.10 vào 29/10/2026 để khắc phục lỗ hổng.
• Sự kiện diễn ra từ 1/7/2026, ảnh hưởng đến Hong Kong, Tailandia, Nhật Bản, Việt Nam, Sri Lanka và Oman.

Chi tiết sự việc

Từ năm 2025, chúng tôi tại ESET đã theo dõi ecosistema malware DarkVigil và người vận hành của nó, SlippyNunchucks. Trong các chiến dịch chúng tôi phân tích, một hành vi đã duy trì sự ổn định: các implant của DarkVigil thường được triển khai thông qua các ứng dụng Trung Quốc phổ biến. Bằng cách lạm dụng các ứng dụng này, SlippyNunchucks đã đạt được đến người dùng nói tiếng Trung ở Á châu và châu Âu. Cho đến nay, cách thức mà các ứng dụng này được sử dụng để đạt được sự thực thi vẫn còn khá mơ hồ.

Cho đến nay, chỉ có một vector tấn công được công khai: một sự cố trong chuỗi cung ứng của QuickFox. Sự cố này được phân tích trong một bài viết của Fortinet và một báo cáo độc lập của ESET Threat Intelligence. Sau khi QuickFox công bố phiên bản sạch, chúng tôi tiếp tục quan sát các implant của DarkVigil được thực thi, lần này thông qua thành phần SGTool.exe của Sogou Input Method. Một cuộc điều tra bổ sung tiết lộ rằng một yêu cầu, thuộc cơ chế quảng bá từ vựng thương hiệu của ứng dụng, đã bị chiếm dụng để cung cấp cấu hình độc hại. Cấu hình này chỉ thị cho binary đặt payloads vào vị trí được chọn, cho phép chúng được thực thi thông qua các luồng làm việc hiện có của Sogou Input Method.

Sau khi phát hiện hoạt động này, chúng tôi đã liên hệ với Trung tâm Phản hồi an ninh Tencent để báo cáo về việc lạm dụng và chia sẻ các phát hiện của chúng tôi. Tencent đã phản hồi nhanh chóng và công bố một bản cập nhật để giải quyết vấn đề. Chúng tôi rất biết ơn sự phản hồi nhanh chóng và sự hợp tác của nhóm.

Các bước trong việc công bố lỗ hổng: 11/09/2026: ESET Research thông báo lỗ hổng bảo mật cho nhóm an ninh Tencent. 21/09/2026: Tencent phản hồi và thừa nhận vấn đề. 30/10/2026: Tencent đã sửa chữa vấn đề trong phiên bản 16.10. 02/11/2026: ESET CNA phát hành một mã CVE cho lỗ hổng (CVE-2026-120422). 04/11/2026: ESET Research công bố bài viết blog này.

Điểm chính của bài viết blog: Từ năm 2025, chúng tôi đã theo dõi ecosistema malware DarkVigil và người vận hành của nó, SlippyNunchucks. Chúng tôi đã phát hiện một hoạt động chiếm DNS của SlippyNunchucks, lạm dụng việc sử dụng giao tiếp HTTP không an toàn của Sogou Input Method. Trong telemetry của chúng tôi, chúng tôi đã thấy rằng hoạt động này nhắm vào tổ chức và người dùng nói tiếng Trung ở Hồng Kông, Thái Lan, Nhật Bản, Việt Nam, Oman và Sri Lanka. Điểm mà việc chiếm DNS xảy ra vẫn chưa rõ ràng. Chúng tôi đã phân tích arquitectura C&C của DarkVigil, sử dụng giao thức Duplex Message Transport Protocol.

Hồ sơ của SlippyNunchucks: SlippyNunchucks là một người vận hành align với Trung Quốc, hoạt động từ ít nhất ngày 15/09/2023. Hoạt động của anh ta tập trung vào việc triển khai và vận hành bộ công cụ DarkVigil (cũng được gọi là FDMTP). DarkVigil là một bộ công cụ modul được phát triển trên .NET, bao gồm implant DarkVigil và hơn 20 plugin đã biết. Bộ công cụ được xây dựng trên framework malware Vigil, mà lại được xây dựng trên framework mạng TouchSocket. TouchSocket triển khai DMTP, một giao thức mạng mà DarkVigil sử dụng cho C&C communications. Dữ liệu bị truy xuất bởi malware được quản lý thông qua một panel web quản lý cũng mang nhãn Vigil.

slippynunchucks tập trung tấn công các tổ chức và cá nhân nói tiếng Trung ở phía nam và đông Á. Đôi khi, nhóm này cũng nhắm mục tiêu vào nạn nhân ở châu Âu, bao gồm người dân ở Đức, Nga, Anh, Áo. Trong số các nạn nhân nổi bật, có một tổ chức cá cược đa quốc gia hoạt động ở Sri Lanka, Philippines và Hồng Kông; một quán cà phê internet ở Dubai; và một sinh viên đại học ở Đan Mạch.

nhóm nghiên cứu ESET đã theo dõi công cụDarkVigil (hoặc FDMTP) từ đầu năm 2025. Tên DarkVigil xuất phát từ tên nội bộ của framework phần mềm Vigil, được đề cập trong các thư viện như using Vigil.Frame và using Vigil.Core, và trong đường dẫn PDB như:

C:\Users\PT\Desktop\VigilPro\Client\Dotnet\Client.Core[omitted]

C:\Users\PT\Desktop\VigilⅢ\Client\Dotnet\Plugins[omitted]

chúng tôi cũng phát hiện giao diện quản lý web được sử dụng để quản lý dữ liệu exfiltrated bởi implant. Giao diện này hiển thị một logo với tên Vigil, như minh họa trong Hình 1.

trong telemetria của chúng tôi, hoạt động liên quan đến DarkVigil tạo thành một cụm đặc biệt chỉ ra một nhóm APT liên quan đến Trung Quốc, tập trung vào triển khai và sử dụng bộ công cụ này. Chúng tôi theo dõi nhóm này dưới tên SlippyNunchucks.

so với các báo cáo công khai quycribe DarkVigil cho Mustang Panda (cũng được biết đến như Twill Typhoon), telemetria của chúng tôi không phát hiện sự chồng chéo nào giữa hoạt động liên quan đến DarkVigil và Mustang Panda. Chúng tôi cho rằng SlippyNunchucks là một nhóm APT khác biệt, liên quan đến Trung Quốc, mà chúng tôi theo dõi độc lập và không có mối liên kết được biết đến với Mustang Panda.

từ năm 2025, slippynunchucks đã lợi dụng nhiều ứng dụng Trung Quốc, bao gồm Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam và tawk.to, để triển khai implant DarkVigil. Cách tiếp cận này đã cho phép slippynunchucks tiếp cận người dùng nói tiếng Trung ở nước ngoài, đặc biệt là ở Á châu và châu Âu. Dựa vào các mẫu nhất quán trong victimology và chiến thuật, chúng tôi tự tin đánh giá rằng slippynunchucks liên quan đến hoạt động giám sát nhà nước liên quan đến lợi ích của chính phủ Trung Quốc.

slippynunchucks nhắm mục tiêu vào tổ chức và cá nhân từ nhiều lĩnh vực, và chúng tôi phát hiện một hoạt động giám sát đáng kể đối với một tổ chức vận hành nền tảng cá cược trực tuyến bằng tiếng Trung ở Sri Lanka, Hồng Kông và Philippines. Việc chọn tổ chức này là đáng chú ý do các hạn chế của Trung Quốc đối với cá cược, bao gồm các án phạt hình sự cho việc kinh doanh cá cược và tổ chức cho công dân Trung Quốc cá cược ở nước ngoài. Cùng với victimology rộng hơn, mẫu này của việc chọn mục tiêu hỗ trợ thêm đánh giá của chúng tôi rằng slippynunchucks liên quan đến lợi ích nhà nước Trung Quốc.

Từ ngày 1 tháng 7 năm 2026, nhóm tấn công SlippyNunchucks đã khai thác lỗ hổng trong Sogou Input Method, khiến người dùng ở Hong Kong, Tailandia, Nhật Bản, Việt Nam, Sri Lanka và Oman nhận được mã độc DarkVigil khi sử dụng ứng dụng này.

Ban đầu, mức độ tấn công và vùng địa lý đa dạng của các nạn nhân khiến người ta nghi ngờ có thể là một exploit. Tuy nhiên, sau khi điều tra, các nhà nghiên cứu phát hiện ra một hoạt động hijack DNS, lợi dụng việc sử dụng giao thức HTTP không an toàn của ứng dụng. Điểm chính xác trong quá trình hijack DNS vẫn chưa được xác định, do đó, vector tấn công vẫn chưa rõ ràng.

Trong số các khả năng được xem xét, có router bị tấn công với cấu hình DNS được thay đổi và độc hại, hoặc router bị tấn công với mã độc hijack yêu cầu DNS hoặc intercept ISP.

Sogou Input Method (còn gọi là Sogou Pinyin) là một trong những ứng dụng nhập ký tự Trung Quốc phổ biến nhất cho máy tính và thiết bị di động. Nó được phát hành vào năm 2006 bởi Sogou, ban đầu là một phần của Sohu, và hiện nay thuộc sở hữu của Tencent sau khi Tencent mua lại Sogou vào năm 2021.

Sogou Input Method sử dụng các từ điển chuyên biệt, gọi là từ điển tế bào, để mở rộng từ điển và cải thiện dự đoán văn bản trong tiếng Trung. Vào tháng 4 năm 2016, Sogou đã giới thiệu Chương trình hỗ trợ thương hiệu khởi nghiệp, cho phép các doanh nghiệp khởi nghiệp gửi tên thương hiệu để được bao gồm trong từ điển IME. Khi được chấp thuận, tên thương hiệu có thể xuất hiện trực tiếp trong danh sách đề xuất khi người dùng nhập pinyin tương ứng, đi kèm với một biểu tượng nhỏ xanh lá cây để phân biệt với các từ điển thông thường.

Yêu cầu hijack do SlippyNunchucks thực hiện liên quan đến cơ chế quảng bá thương hiệu của Sogou Input Method. Cụ thể, nó phục hồi cấu hình để tải xuống biểu tượng liên quan đến từ điển tế bào được quảng bá bởi thương hiệu, bao gồm biểu tượng xanh lá cây nhỏ.

Ngày 29 tháng 10 năm 2026, Tencent đã phát hành phiên bản 16.10, giải quyết vấn đề bằng cách chuyển các yêu cầu HTTP bị ảnh hưởng sang HTTPS. Thay đổi này giảm thiểu nguy cơ giao tiếp cấu hình độc hại thông qua hijack DNS bằng cách yêu cầu xác thực chứng chỉ TLS.

Phân tích kỹ thuật

Hijack DNS

Như một phần của cơ chế quảng bá thương hiệu của Sogou Input Method, SGTool.exe, một trong các thành phần, gửi yêu cầu HTTP đến endpoint config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php để phục hồi cấu hình cho biểu tượng liên quan đến từ điển tế bào được quảng bá bởi thương hiệu. Trong môi trường sạch, endpoint trả về cấu hình được mã hóa bằng AES-256-CBC sử dụng một khóa và IV được tích hợp trong phần .rdata của SGTool.exe. Sau khi giải mã, cấu hình chứa lệnh tải xuống biểu tượng nhỏ xanh lá cây (tree.png), biểu tượng của Chương trình Hỗ trợ Thương hiệu Khởi Nghiệp; xem Hình 3.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn WeLiveSecurity Español. Vui lòng đối chiếu bài gốc trước khi sử dụng.