HABERMAX. ESET araştırmacıları, Tencent tarafından geliştirilen Sogou Input Method uygulamasındaki güvenlik açığından yararlanan Çin bağlantılı SlippyNunchucks grubunun farklı ülkelerde siber casusluk faaliyetleri yürüttüğünü ortaya çıkardı. Kötü amaçlı yazılım dağıtımında kullanılan güvenlik açığı için Tencent güncelleme yayımladı.
Siber güvenlik alanında dünya çapında faaliyet gösteren ESET, uluslararası ölçekte dikkat çeken bir siber saldırı operasyonunu ortaya çıkardı. Çin bağlantılı SlippyNunchucks adlı APT grubunun, yaygın olarak kullanılan Çince klavye uygulaması Sogou Input Method üzerinden kullanıcıları hedef aldığı belirlendi.
ESET Research tarafından yürütülen incelemelerde, uygulamanın Windows sürümlerindeki güvenli olmayan HTTP iletişiminin saldırganlar tarafından istismar edildiği ve DNS ele geçirme yöntemiyle kötü amaçlı yazılımların dağıtıldığı tespit edildi.
Yedi Ülkedeki Kuruluşlar Hedef Alındı
ESET'in bulgularına göre DarkVigil adlı kötü amaçlı yazılım ekosistemini kullanan SlippyNunchucks grubu; Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka'daki kuruluşları ve Çince konuşan kişileri hedef aldı.
Grubun faaliyetlerinin Asya'nın yanı sıra Avrupa'ya da uzandığı, Almanya, Rusya, Birleşik Krallık ve Avusturya'daki kullanıcıların da geçmişte hedef alındığı bildirildi.
Meşru Uygulama Bileşeni Saldırıda Kullanıldı
Operasyonu ve güvenlik açığını keşfeden ESET araştırmacısı Anh Ho, Temmuz 2026'da DarkVigil zararlı yazılım bileşenlerinin Sogou Input Method uygulamasına ait SGTool.exe tarafından başlatıldığını gözlemlediklerini açıkladı.
Yapılan incelemelerde uygulamanın kelime tanıtım mekanizmasına yönelik bir HTTP isteğinin ele geçirildiği ve saldırganların bu yolla kötü amaçlı yapılandırma dosyası gönderdiği belirlendi.
Söz konusu yapılandırmanın, zararlı yazılımların uygulamanın mevcut işleyişinden yararlanılarak belirli konumlara yerleştirilmesini ve çalıştırılmasını sağladığı ifade edildi.
Tencent Güvenlik Açığını Giderdi
ESET, tespit ettiği güvenlik açığını ve saldırı yöntemlerini Tencent Güvenlik Müdahale Merkezi'ne bildirdi.
Tencent, CVE-2026-120422 numarasıyla tanımlanan güvenlik açığını gidermek amacıyla güncelleme yayımladı. Sogou Input Method'un 16.10 sürümünde güvenli olmayan HTTP istekleri HTTPS'e taşındı.
Ayrıca TLS sertifika doğrulamasının zorunlu hâle getirilmesiyle DNS ele geçirme üzerinden kötü amaçlı yapılandırma dağıtılması riskinin azaltılması hedeflendi.
DarkVigil Siber Casusluk Araç Seti Yakından İzleniyor
ESET Research, FDMTP olarak da bilinen DarkVigil araç setini 2025 yılının başından bu yana takip ediyor.
Araştırmacılar, kötü amaçlı yazılımın ele geçirdiği verileri yönetmek amacıyla kullanılan web tabanlı yönetim panelini de tespit etti. Panelde Vigil adını taşıyan bir logonun bulunması, araç setinin teknik incelemesinde önemli bulgulardan biri oldu.
En az 2023 yılından bu yana aktif olduğu belirtilen SlippyNunchucks grubunun faaliyetleri ağırlıklı olarak Güney ve Doğu Asya'daki kuruluşlara ve Çince konuşan kişilere yönelik siber casusluk operasyonlarından oluşuyor.
Mustang Panda ile Bağlantı Konusunda Farklı Bulgular
DarkVigil araç seti bazı kamuya açık raporlarda Mustang Panda (Twill Typhoon) adlı grupla ilişkilendirilmişti. Ancak ESET'in telemetri verileri, DarkVigil faaliyetleri ile Mustang Panda operasyonları arasında herhangi bir örtüşme göstermedi.
Bu nedenle ESET, DarkVigil altyapısını kullanan tehdit aktörünü SlippyNunchucks adıyla ayrı bir grup olarak takip ediyor.
Ortaya çıkarılan operasyon, yaygın kullanılan yazılımlardaki güvenlik açıklarının uluslararası siber casusluk faaliyetlerinde nasıl kullanılabileceğini bir kez daha gösterdi.
Habermax
Yorumlar (0)
İlk yorumu siz yapın.