Kẻ tấn công liên kết Trung Quốc lợi dụng Sogou Input Method để cài backdoor DarkVigil
"China-aligned threat actor SlippyNunchucks hijacked DNS requests for Sogou Input Method to deploy the DarkVigil backdoor (aka FDMTP). The attack leveraged insecure HTTP communications and a compromised vocabulary promotion mechanism, resulting in CVE-2026-120422 and CVE-2026-51990 exploitation. Tencent released version 16.10 on October 29, 2026, migrating requests to HTTPS to address the vulnerability."
Lỗ hổng trong Sogou Input Method cho phép kẻ tấn công cài đặt backdoor DarkVigil, gây nguy cơ mất dữ liệu và kiểm soát hệ thống.
Các doanh nghiệp sử dụng Sogou Input Method có thể bị mất mát tài chính do gián đoạn hoạt động và thiệt hại uy tín nếu bị tấn công thành công. Việc cập nhật phần mềm là rất quan trọng.
Nhóm tấn công SlippyNunchucks, liên kết với Trung Quốc, lợi dụng lỗ hổng trong Sogou Input Method để triển khai backdoor DarkVigil (còn gọi là FDMTP) từ ngày 1 tháng 7 năm 2026. ESET cho biết chiến dịch nhắm vào các tổ chức và cá nhân nói tiếng Trung ở Hong Kong, Thái Lan, Nhật Bản, Việt Nam, Oman và Sri Lanka.
DarkVigil thường được cài đặt thông qua các ứng dụng phổ biến của Trung Quốc. Kẻ tấn công đã lợi dụng cơ chế quảng bá từ vựng không an toàn của Sogou Input Method để phân phối cấu hình độc hại, dẫn đến việc tải xuống và thực thi malware thông qua SGTool.exe – một thành phần hợp pháp của Sogou.
Cụ thể, DNS resolution của config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php bị giả mạo để trỏ đến các máy chủ: 47.239.250[.]102 (sogou-cdn[.]com) và 47.237.122[.]175 (dev.soft-png-cdn.com). Máy chủ giả mạo này trả về cấu hình độc hại, yêu cầu tải xuống biz_helper.exe (Adobe) và libcef.dll (chứa DarkVigil) thông qua DLL sideloading. DarkVigil sử dụng giao thức DMTP để điều khiển và thu thập dữ liệu.
Tencent đã phát hành phiên bản 16.10 vào ngày 29 tháng 10 năm 2026, chuyển các yêu cầu HTTP sang HTTPS để khắc phục lỗ hổng (CVE-2026-120422). Trước đó, vào tháng 9 năm 2026, một lỗ hổng khác (CVE-2026-51990) trong Sogou Input Method cũng bị khai thác bởi UNC3569 để phân phối backdoor GRAYRABBIT.
Câu hỏi thường gặp
DarkVigil là gì?
DarkVigil (còn gọi là FDMTP) là một backdoor được nhóm SlippyNunchucks sử dụng để kiểm soát máy tính bị nhiễm và thu thập dữ liệu. Nó sử dụng giao thức DMTP để liên lạc với máy chủ điều khiển.
Sogou Input Method bị lợi dụng như thế nào?
Kẻ tấn công lợi dụng cơ chế quảng bá từ vựng của Sogou Input Method để phân phối cấu hình độc hại. Cấu hình này dẫn đến việc tải xuống và thực thi backdoor DarkVigil.
CVE-2026-120422 và CVE-2026-51990 là gì?
CVE-2026-120422 là lỗ hổng trong Sogou Input Method cho phép kẻ tấn công lợi dụng HTTP để phân phối malware. CVE-2026-51990 là một lỗ hổng khác, bị khai thác trước đó bởi UNC3569 để cài đặt backdoor GRAYRABBIT.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Sogou Input Method liên tục bị lợi dụng cho các chiến dịch tấn công cho thấy tầm quan trọng của việc cập nhật phần mềm thường xuyên, đặc biệt là các ứng dụng phổ biến. Các doanh nghiệp Việt Nam sử dụng Sogou Input Method nên nâng cấp lên phiên bản 16.10 trở lên. Điều đáng chú ý là các nhóm tấn công liên kết Trung Quốc đang tích cực nhắm mục tiêu vào khu vực Đông Nam Á, bao gồm cả Việt Nam.