Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir grubun yaygın kullanılan Çince klavye uygulamasındaki açığı istismar ettiğini tespit etti.
- Saldırganlar uygulama üzerinden kötü amaçlı yazılım dağıttı ve kullanıcıların internet bağlantılarını yönlendirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlanarak farklı ülkelerdeki kullanıcıları hedef aldığını duyurdu. ESET araştırmacıları, grubun uygulama aracılığıyla kötü amaçlı yazılım dağıttığı ve kullanıcıların internet bağlantılarını yönlendirerek saldırı düzenlediği bir operasyonu ortaya çıkardı.
Araştırmayı yürüten ESET, Tencent tarafından geliştirilen Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu inceledi. Operasyonun arkasında, DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olduğu belirtilen Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor. Grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği kaydedildi.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediğini belirtti. Ho’ya göre, uygulamanın markalı kelime tanıtım mekanizmasına ait bir istek, kötü amaçlı bir yapılandırma sunmak üzere ele geçirildi. Bu yapılandırma, yüklerin uygulamanın mevcut iş akışları aracılığıyla çalıştırılabileceği konumlara yerleştirilmesini talimat olarak içeriyordu. SGTool.exe’nin çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir bileşen olduğu aktarıldı.
Sogou Input Method’un, Sogou Pinyin adıyla da bilinen, bilgisayar ve mobil cihazlarda Çince yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri olduğu belirtildi. ESET, operasyonu ortaya çıkarmasının ardından kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in hızla yanıt verdiği ve CVE-2026-120422 açığını gidermek için yama yayımladığı kaydedildi. Uygulamanın 16.10 sürümünün etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu giderdiği, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttığı bildirildi.
ESET, DarkVigil araç setini (FDMTP olarak da bilinen) 2025’in başından beri takip ettiğini açıkladı. Çerçevenin dâhilî adı Vigil’den türetilen DarkVigil adının, kütüphane başvurularında görüldüğü belirtildi. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan, Vigil adlı logo içeren bir web yönetim paneli tespit etti.
SlippyNunchucks’un en az 2023’ten beri aktif olduğu, siber casusluk faaliyetlerini DarkVigil araç setinin yerleştirilmesi ve kullanımı etrafında yürüttüğü aktarıldı. Grubun ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef aldığı, zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişileri de hedef aldığı kaydedildi. ESET, DarkVigil’i Mustang Panda (Twill Typhoon olarak da bilinen) ile ilişkilendiren kamuya açık raporların aksine, DarkVigil faaliyetleri ile Mustang Panda faaliyetleri arasında bir örtüşme bulmadığını bildirdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
