Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan Çince klavye uygulamasındaki bir açıktan yararlandığını tespit etti.
- Saldırı grubu uygulama üzerinden kötü amaçlı yazılım dağıtarak kullanıcıların internet bağlantılarını yönlendirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun Tencent’in geliştirdiği Sogou Input Method uygulamasındaki güvenlik açığını kullanarak farklı ülkelerdeki kullanıcıları hedef aldığını açıkladı. Tencent ise açığı kapatan bir yama yayımladı.
ESET araştırmacıları, grubun bu uygulama üzerinden kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı gerçekleştirdiğini belirledi.
Analizlere göre, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerinde güvenli olmayan HTTP iletişimi istismar edildi ve DNS ele geçirme operasyonu gerçekleştirildi. Operasyonun arkasında, Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks bulunuyor. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grup; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşları ve Çince konuşan kişileri hedef aldı. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği belirtildi.
Operasyonu ve açığı keşfeden ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediklerini söyledi. Ho, ayrıntılı incelemede uygulamanın markalı kelime tanıtım mekanizmasına ait bir isteğin kötü amaçlı bir yapılandırma sunmak için ele geçirildiğinin ortaya çıktığını belirtti. Ho’ya göre bu yapılandırma, yükleri Sogou Input Method’un mevcut iş akışları aracılığıyla çalıştırılabilecekleri konumlara yerleştirmeyi hedefliyordu. SGTool.exe’nin, çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir bileşen olduğu kaydedildi.
Sogou Input Method (Sogou Pinyin olarak da bilinen uygulama), bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri. ESET, operasyonu ortaya çıkarmasının ardından kötüye kullanımı bildirmek ve bulgularını paylaşmak için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in hızla yanıt verdiği, CVE-2026-120422 açığını gidermek için yama yayımladığı aktarıldı. Uygulamanın 16.10 sürümünde etkilenen HTTP istekleri HTTPS’e taşınarak sorun giderildi. Değişikliğin, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttığı belirtildi.
ESET Research, DarkVigil araç setini (FDMTP olarak da bilinen) 2025’in başından beri takip ediyor. Adın, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dahili adı Vigil’den geldiği belirtildi. ESET, implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti; panelde Vigil adını taşıyan bir logo bulunuyor.
SlippyNunchucks’ın en az 2023’ten bu yana aktif olduğu ve siber casusluk faaliyetlerinin DarkVigil araç setinin yerleştirilmesi ve kullanımı etrafında şekillendiği aktarıldı. Grubun ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef aldığı, zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya’daki kişiler de dahil olmak üzere Avrupa’daki kurbanları da hedef aldığı kaydedildi. ESET, DarkVigil’i Mustang Panda’ya (Twill Typhoon olarak da bilinen) atfeden kamuya açık raporların aksine, telemetrisinde DarkVigil ile ilişkili faaliyetler ile Mustang Panda faaliyetleri arasında herhangi bir örtüşme görmediğini bildirdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
