Çince klavye uygulamasındaki açık siber saldırıya aracılık etti

Çin bağlantılı bir siber saldırı grubunun, yaygın kullanılan bir Çince klavye uygulamasının güvenlik açığını istismar ederek farklı ülkelerdeki kullanıcıları hedef aldığı ortaya çıktı. Siber güvenlik alanında küresel bir lider olan ESET, operasyonun ayrıntılarını kamuoyuyla paylaştı.

Uygulama üzerinden yayılan saldırı

ESET araştırmacıları, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method‘un Windows sürümlerinde, güvenli olmayan HTTP iletişimini kötüye kullanan bir DNS ele geçirme operasyonu tespit etti. Grup, kullanıcıların internet bağlantılarını yönlendirerek kötü amaçlı yazılım dağıtıyordu.

Hedefler ve saldırgan

Kampanyanın arkasında, Çin bağlantılı SlippyNunchucks adlı Gelişmiş Kalıcı Tehdit (APT) grubunun bulunduğu belirtildi. Grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka‘daki kuruluşları ve Çince konuşan kişileri hedef aldı. Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği kaydedildi.

Saldırının teknik ayrıntıları

ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method’un bileşeni SGTool.exe tarafından başlatıldığını gözlemlediğini açıkladı. Ho’ya göre, uygulamanın markalı kelime tanıtım mekanizmasına ait bir istek ele geçirilerek kötü amaçlı bir yapılandırma sunulmuş ve bu yapılandırma, yüklerin uygulamanın mevcut iş akışları üzerinden çalıştırılmasını sağlamıştır. Ho, SGTool.exe‘nin meşru bir Sogou bileşeni olduğunu ve çok amaçlı bir görev dağıtıcısı işlevi gördüğünü belirtti.

Tencent’in yanıtı

Sogou Input Method, bilgisayarlarda ve mobil cihazlarda en yaygın kullanılan Çince giriş yöntemi düzenleyicilerinden biri. ESET, tespitini ardından Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent hızla yanıt vererek CVE-2026-120422 açığını gidermek üzere bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak TLS sertifika doğrulamasını zorunlu kılıyor ve böylece DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılma riskini azaltıyor.

DarkVigil araç seti

ESET, DarkVigil araç setini (FDMTP olarak da bilinen) 2025’in başından beri takip ediyor. Adını, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dahili Vigil adından alan bu araç setinin verilerini yönetmek için kullanılan web paneli de tespit edildi. Panelde Vigil adını taşıyan bir logo yer alıyor.

Grubun faaliyet alanı

SlippyNunchucks‘ın en az 2023’ten bu yana aktif olduğu ve siber casusluk faaliyetlerini DarkVigil araç setinin yerleştirilmesi ve kullanımı etrafında yürüttüğü belirtiliyor. Grup ağırlıklı olarak Güney ve Doğu Asya’yı hedef alırken zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya‘daki kişileri de hedef aldı. ESET, DarkVigil ile ilişkili faaliyetlerin, daha önce bu araç setini Mustang Panda (Twill Typhoon olarak da bilinen) grubuna atfeden kamuya açık raporlardan farklı olduğunu, telemetrisinde iki grup arasında herhangi bir örtüşme bulmadığını bildirdi.

Kaynak: Beyaz Haber Ajansı (BYZHA)