Hacker’lar Popüler Bir Çin Klavye Yazılımını Siber Casusluk Saldırıları İçin Bir Arka Kapıya Dönüştürüyor

Çin yanlısı bir hacker grubu, en popüler Çince yazma araçlarından biri olan Sogou Input Method'u kötüye kullanarak Windows bilgisayarlara DarkVigil adlı bir arka kapı programını gizlice kuruyor. Grup, SlippyNunchucks olarak takip edilmektedir. 1 Temmuz 2026'dan bu yana klavye yazılımını kullanarak Hong Kong, Tayland, Japonya, Vietnam, Sri Lanka ve Umman'daki kullanıcılara ulaşmıştır. Hacker'ların bir yazılım güvenlik açığından yararlanmasına gerek yoktu. Sogou'nun arka plan isteklerinden bazıları güvenli HTTPS yerine normal HTTP üzerinden iletiliyor. Bu nedenle saldırganlar, web sitesi adlarını sunucu adreslerine dönüştüren sistem olan DNS'i kurcalamışlar. Bu işlem, uygulamanın isteğini saldırganların kontrol ettiği bir sunucuya yönlendirdi. Sogou'nun sahibi olan Tencent, bu güvenlik açığını 16.10 sürümünde giderdi ve sorun artık CVE-2026-120422 kimliğine sahip. WeLiveSecurity'de yayın yapan ESET araştırmacıları, kötü amaçlı yazılımı ve ele geçirme yöntemini tespit etti. ESET'in ayrıntılı araştırma raporunda, FDMTP olarak da adlandırılan DarkVigil'i 2025'in başından beri takip ettiklerini belirtmişlerdir. İlk başta, enfeksiyonların sayısı ve bunların birçok ülkeye yayılması, bir güvenlik açığından yararlanıldığını düşünmelerine neden oldu. Ekip daha sonra bunun yerine DNS ele geçirmesi olduğunu tespit etmiştir. Hacker'lar Popüler Çin Klavye Yazılımını Ele Geçirdi

Sorun, SGTool.exe adlı bir Sogou bileşeniyle başlıyor. Bu bileşen, config.pinyin.sogou[.]com adresindeki bir sunucudan, kendisine "marka tanıtımı" özelliği için hangi simgenin indirileceğini söyleyen küçük bir ayar dosyası ister. Dosya normalde zararsız bir yeşil filiz resmine yönlendirir. Mağdur ağlarda saldırganlar DNS yanıtını kontrol ediyordu, bu nedenle istek kendi hazırlık sunucularına gidiyor ve bu sunucular da sahte bir ayarlar dosyası geri gönderiyordu. Web yöneticisi panelinde görünen Vigil logosu (Kaynak – Welivesecurity)

Bu sahte dosya, Sogou'ya iki öğeyi indirmesini söylüyordu. Bunlardan biri, adı biz_helper.exe olarak değiştirilmiş gerçek, imzalı bir Adobe yardımcı programıydı. Diğeri ise libcef.dll gibi görünen DarkVigil implantıydı. Saldırganlar ayrıca dosyada yer alan sağlama toplamı değerlerini de değiştirmiş, böylece Sogou'nun kendi bütünlük kontrolü indirmeleri kabul etmiştir.