Kısaca
- Siber güvenlik şirketi ESET, Tencent’in yaygın kullanılan Çince giriş uygulamasındaki bir açığın saldırıda kullanıldığını ortaya çıkardı.
- Çin bağlantılı SlippyNunchucks grubu, bu açıktan yararlanarak Asya ve Avrupa’daki kullanıcılara kötü amaçlı yazılım dağıttı.
- Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığını kullandığını açıkladı. Saldırganlar, bu açık üzerinden farklı ülkelerdeki kullanıcıları hedef aldı. Uygulamanın geliştiricisi Tencent ise açığı kapatan bir güncelleme yayımladı.
ESET araştırmacıları, grubun uygulama üzerinden kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiğini belirledi.
Tespit edilen operasyonda, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişimi istismar edildi. Bu tür bir DNS ele geçirme yöntemiyle saldırganlar, kullanıcıların bağlantısını kendi kontrolündeki kaynaklara yönlendirebildi.
Gözetim kampanyasının arkasında Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks yer alıyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup, Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grup ayrıca Asya ve Avrupa genelindeki kullanıcılara da ulaşabildi.
Saldırının işleyişi
Operasyonu ve açığı keşfeden ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediğini belirtti. Ho’ya göre daha ayrıntılı inceleme, uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiğini ortaya koydu. Bu yapılandırma, ikili dosyaya yüklerin uygulamanın mevcut iş akışları aracılığıyla çalıştırılabileceği belirli konumlara yerleştirmesi talimatını veriyordu. Ho, SGTool.exe’nin çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir Sogou bileşeni olduğunu da ekledi.
Sogou Input Method, bilgisayar ve mobil cihazlarda Çince karakter yazmak için en çok kullanılan düzenleyicilerden biri. Uygulama daha önce de tehdit istihbaratı araştırmalarında yer almıştı.
Yama ve güvenlik önlemi
ESET, operasyonu ortaya çıkardıktan kısa süre sonra kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent hızla yanıt vererek CVE-2026-120422 açığını gidermek için bir yama yayımladı. Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS’e taşıyarak sorunu gideriyor. Değişiklik, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.
DarkVigil ve grubun geçmişi
ESET Research, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025’in başından beri takip ediyor. Adın, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dâhili adı Vigil’den geldiği belirtildi. ESET ayrıca implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti; panelde Vigil adını taşıyan bir logo yer alıyor.
SlippyNunchucks en az 2023’ten bu yana aktif. Grubun siber casusluk faaliyetleri DarkVigil araç setinin yerleştirilmesi ve kullanılması etrafında şekilleniyor. Ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef alan grup, zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişiler de dâhil olmak üzere Avrupa’daki kurbanları da vurdu.
ESET telemetrisi, DarkVigil ile ilişkili faaliyetlerin, bu araç setinin yerleştirilmesi ve kullanılması üzerine kurulu ayrı bir APT kümesine işaret ettiğini ortaya koyuyor. Kamuya açık bazı raporlar DarkVigil’i Mustang Panda’ya (Twill Typhoon olarak da biliniyor) atfetse de ESET, DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme bulmadığını bildirdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
