Çince Klavye Uygulamasına DNS Saldırısı

Siber güvenlikte küresel lider ESET, Çin bağlantılı bir siber saldırı grubunun yaygın olarak kullanılan Sogou Input Method uygulamasındaki güvenlik açığından yararlanarak birden fazla ülkedeki kullanıcıları hedef aldığını ortaya çıkardı.

ESET araştırmacıları, tehdit grubunun uygulamadaki açığı istismar ederek kötü amaçlı yazılım dağıttığını ve DNS ele geçirme yoluyla saldırılar gerçekleştirdiğini tespit etti. Uygulamanın geliştirici şirketi Tencent, güvenlik açığını kapatan bir güncelleme yayımladı.

Operasyonun Detayları

ESET Research, Tencent tarafından geliştirilen Sogou Input Method'un Windows sürümlerindeki güvenli olmayan HTTP iletişimini istismar eden bir DNS ele geçirme operasyonunu analiz etti. Çin bağlantılı APT (Gelişmiş Kalıcı Tehdit) grubu SlippyNunchucks, DarkVigil kötü amaçlı yazılım ekosisteminin operatörü olarak bu saldırıları yürütmüş.

Saldırı grubunun hedefleri:

  • Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka'daki kuruluşlar
  • Çince konuşan kişiler
  • Asya ve Avrupa genelindeki çok sayıda kullanıcı

Saldırının Teknik Yönü

ESET araştırmacısı Anh Ho açıklamasında, Sogou Input Method içinde yer alan SGTool.exe adlı bileşenin kötü amaçlı yazılım dağıtmak için istismar edildiğini belirtti. Uygulamanın markalı kelime tanıtım mekanizması, kötü amaçlı yapılandırma sunmak için ele geçirilmiş. Bu yapılandırma, ikili dosyaları Sogou Input Method'un mevcut iş akışları aracılığıyla çalıştırılabilecek belirli konumlara yerleştiriyor.

SGTool.exe, meşru bir Sogou Input Method bileşeni olup çok amaçlı görev dağıtıcısı işlevi görüyor.

Sogou Input Method Nedir?

Sogou Input Method (Sogou Pinyin olarak da biliniyor), bilgisayarlarda ve mobil cihazlarda Çince karakter yazmak için en yaygın kullanılan Çince giriş yöntemi düzenleyicilerinden biri. Uygulama önceki dönemlerde tehdit istihbaratı araştırmalarında yer almıştı.

Güvenlik Güncellemesi

ESET, operasyonu ortaya çıkardıktan kısa süre sonra Tencent Güvenlik Müdahale Merkezi'yle iletişime geçerek bulguları paylaştı. Tencent hızla yanıt verdi ve CVE-2026-120422 numaralı açığı gidermek için bir yama yayımladı.

Uygulamanın 16.10 sürümü, etkilenen HTTP isteklerini HTTPS'e taşıyarak sorunu çözüyor. Bu değişiklik, TLS sertifika doğrulamasını zorunlu kılarak DNS ele geçirme yoluyla kötü amaçlı yapılandırma dağıtılması riskini azaltıyor.

DarkVigil Araç Setinin Takibi

ESET Research, DarkVigil araç setini (FDMTP olarak da biliniyor) 2025'in başından beri takip ediyor. Grup adı, kötü amaçlı yazılım çerçevesinin kütüphane başvurularında görülen dahili ad Vigil'den geliyor.