ESET Research melaporkan pada 4 November 2026 bahwa SlippyNunchucks, kelompok peretas yang selaras dengan Tiongkok, membajak mekanisme promosi merek di Sogou Input Method versi Windows untuk menyebarkan backdoor DarkVigil. ESET mengamati kampanye ini sejak 1 Juli 2026, dan Tencent baru menambalnya akhir Oktober.
Cara serangan bekerja
Komponen SGTool.exe milik Sogou meminta berkas konfigurasi lewat HTTP biasa untuk fitur promosi merek. Penyerang mengendalikan resolusi DNS untuk alamat konfigurasi itu di lingkungan korban, sehingga permintaan berakhir di server mereka. Server tersebut membalas dengan konfigurasi berbahaya yang menyuruh aplikasi mengunduh dua berkas: program Adobe yang sah dan pustaka libcef.dll berisi DarkVigil. Program sah itu lalu memuat DLL palsu lewat teknik DLL sideloading.
ESET belum memastikan di titik mana DNS dibelokkan. Dugaan yang disebut mencakup router yang disusupi, router berimplan, atau penyadapan di tingkat penyedia internet. DarkVigil sendiri berupa kerangka modular .NET dengan lebih dari 20 plugin, berkomunikasi dengan server kendali lewat protokol DMTP, dan bertahan di sistem dengan menumpang alur pemuatan komponen Sogou.
Siapa yang terdampak
Korban tercatat di Hong Kong, Thailand, Jepang, Vietnam, Sri Lanka, dan Oman. ESET menyebut organisasi perjudian multinasional yang beroperasi di Sri Lanka, Filipina, dan Hong Kong, sebuah warnet di Dubai, serta seorang mahasiswa di Denmark. Laporan itu tidak menyebut korban di Indonesia, tetapi kawasan yang tercatat mencakup Asia Tenggara, jadi pengguna Sogou di sini sebaiknya ikut memeriksa perangkatnya.
Pola membajak jalur yang dipercaya pengguna juga muncul di kampanye APT29 lewat skrip analitik Plerdy, meski pelaku dan targetnya berbeda.
Langkah yang perlu diambil
Tencent menutup celah ini di Sogou Input Method 16.10 pada 29 Oktober 2026 (linimasa pengungkapan ESET mencantumkan 30 Oktober). Versi itu memindahkan permintaan terkait ke HTTPS dan menerapkan certificate pinning. The Hacker News menulis nomor CVE-2026-120422 untuk celah ini, sedangkan laporan ESET tidak mencantumkan nomor tersebut.
Pengguna sebaiknya memperbarui Sogou ke 16.10 atau lebih baru, lalu memeriksa folder komponen Sogou untuk berkas biz_helper.exe dan libcef.dll yang tidak dikenal serta SogouComMgr.exe yang telah diganti. Periksa juga pengaturan DNS di router, ganti kata sandi admin router, dan pasang firmware terbaru. Daftar indikator serangan lengkap tersedia di laporan ESET dan repositori GitHub mereka.
Sumber: ESET WeLiveSecurity dan The Hacker News. Gambar: ESET.