Kısaca
- Siber güvenlik şirketi ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığından yararlandığını tespit etti.
- Saldırı grubu uygulama üzerinden kötü amaçlı yazılım dağıttı ve kullanıcıların internet bağlantılarını yönlendirdi.
- Uygulamanın geliştiricisi Tencent, açığı kapatan bir güncelleme yayımladı.
Siber güvenlikte küresel bir lider olan ESET, Çin bağlantılı bir siber saldırı grubunun yaygın kullanılan bir Çince klavye uygulamasındaki güvenlik açığını kullanarak farklı ülkelerdeki kullanıcıları hedef aldığını ortaya çıkardı. Uygulamanın geliştiricisi Tencent ise açığı kapatan bir güncelleme yayımladı.
ESET araştırmacıları, grubun uygulama aracılığıyla kötü amaçlı yazılım dağıttığını ve kullanıcıların internet bağlantılarını yönlendirerek saldırı düzenlediğini belirledi. Analizlerde, Tencent tarafından geliştirilen Çince giriş yöntemi düzenleyicisi Sogou Input Method’un Windows sürümlerindeki güvenli olmayan HTTP iletişiminin istismar edildiği görüldü.
Bu gözetim kampanyasının arkasında, Çin bağlantılı SlippyNunchucks adıyla takip edilen APT (Gelişmiş Kalıcı Tehdit) grubunun bulunduğu belirtildi. DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olan grubun Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka’daki kuruluşlar ile Çince konuşan kişileri hedef aldığı kaydedildi. Grubun Asya ve Avrupa genelindeki kullanıcılara da ulaşabildiği aktarıldı.
ESET araştırmacısı Anh Ho, Temmuz 2026’da DarkVigil implantlarının Sogou Input Method bileşeni SGTool.exe tarafından başlatıldığını gözlemlediklerini söyledi. Ho’ya göre uygulamanın markalı kelime tanıtım mekanizmasına ait bir istek ele geçirilerek kötü amaçlı bir yapılandırma sunulmuş, bu yapılandırma da yüklerin uygulamanın mevcut iş akışları aracılığıyla çalıştırılabileceği konumlara yerleştirilmesini talimat olarak vermiştir. Ho, SGTool.exe’nin çok amaçlı bir görev dağıtıcısı işlevi gören meşru bir bileşen olduğunu belirtti.
Sogou Input Method’un, bilgisayar ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan giriş yöntemi düzenleyicilerinden biri olduğu hatırlatıldı. ESET, operasyonu ortaya çıkardıktan kısa süre sonra kötüye kullanımı bildirmek için Tencent Güvenlik Müdahale Merkezi ile iletişime geçti. Tencent’in hızla yanıt verdiği ve CVE-2026-120422 açığını gidermek için bir yama yayımladığı kaydedildi.
Yamayla birlikte uygulamanın 16.10 sürümünde etkilenen HTTP istekleri HTTPS’e taşındı ve TLS sertifika doğrulaması zorunlu kılındı. Bu değişikliğin, DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azalttığı belirtildi.
ESET Research’ün DarkVigil araç setini, FDMTP olarak da bilinen bu yapıyı 2025’in başından beri takip ettiği ifade edildi. Adın, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dahili adı Vigil’den geldiği belirtildi. ESET, implantın sızdırdığı verileri yönetmek için kullanılan web yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logo bulunuyor.
SlippyNunchucks’ın en az 2023’ten bu yana aktif olduğu ve siber casusluk faaliyetlerinin DarkVigil araç setinin yerleştirilmesi ve kullanımı etrafında şekillendiği aktarıldı. Grubun ağırlıklı olarak Güney ve Doğu Asya’daki kuruluşları ve Çince konuşan kişileri hedef aldığı, zaman zaman Almanya, Rusya, Birleşik Krallık ve Avusturya dahil Avrupa’daki kurbanları da hedef aldığı kaydedildi.
ESET telemetrisinin, DarkVigil ile ilişkili faaliyetlerin ayrı bir küme oluşturduğunu gösterdiği belirtildi. DarkVigil’i Mustang Panda (Twill Typhoon olarak da bilinen) grubuna atfeden kamuya açık raporların aksine ESET, bu iki grubun faaliyetleri arasında herhangi bir örtüşme bulmadığını açıkladı.
Kaynak: (BYZHA) Beyaz Haber Ajansı
