Un grupo alineado con China está abusando de Sogou Input Method, una de las herramientas de escritura más populares de China, para instalar secretamente una puerta trasera llamada DarkVigil en ordenadores con Windows.

El grupo es rastreado como SlippyNunchucks. Desde el 1 de julio de 2026, ha utilizado el software de teclado para llegar a usuarios en Hong Kong, Tailandia, Japón, Vietnam, Sri Lanka y Omán.

Los hackers no necesitaron un exploit de software. Algunas de las solicitudes en segundo plano de Sogou viajan a través de HTTP simple en lugar de HTTPS seguro, por lo que los atacantes manipularon el DNS, el sistema que convierte los nombres de los sitios web en direcciones de servidor.

Esto envió la solicitud de la aplicación a un servidor que ellos controlaban. Tencent, propietaria de Sogou, corrigió la debilidad en la versión 16.10, y el problema ahora tiene el ID CVE-2026-120422.

Investigadores de ESET, publicando en WeLiveSecurity, identificaron el malware y el método de secuestro. En su detallado informe de investigación de ESET, dijeron que han rastreado DarkVigil, también llamado FDMTP, desde principios de 2025.

Al principio, el número de infecciones y su propagación por muchos países les hizo pensar que había un exploit involucrado. Más tarde, el equipo encontró en su lugar el secuestro de DNS.

Convierten un popular software de teclado chino

El problema comienza con una parte de Sogou llamada SGTool.exe. Esta solicita a un servidor en config.pinyin.sogou[.]com un pequeño archivo de configuración que le indica qué icono descargar para una función de "promoción de marca".

Normalmente, el archivo apunta a una imagen inofensiva de un brote verde. En las redes de las víctimas, los atacantes controlaban la respuesta del DNS, por lo que la solicitud iba a sus propios servidores de preparación, que devolvían un archivo de configuración falso.

Ese archivo falso le indicaba a Sogou que descargara dos elementos. Uno era un programa auxiliar de Adobe real y firmado, renombrado como biz_helper.exe.

El otro era el implante DarkVigil, disfrazado de libcef.dll. Los atacantes también cambiaron los valores de la suma de comprobación (checksum) en el archivo para que la propia comprobación de integridad de Sogou aceptara las descargas.

El truco se basa en el DLL side-loading. Cuando un programa confiable se inicia, carga un archivo malicioso del mismo nombre que se encuentra a su lado. Este método también se vio en un fallo de puerta trasera de un solo clic de Sogou reportado en septiembre.

Los atacantes guardaron el archivo de Adobe como SogouComMgr.exe, por lo que cada vez que Sogou instalaba o cargaba un componente, ejecutaba el archivo de Adobe, que a su vez cargaba el malware.

Esto dio a los hackers un acceso duradero sin necesidad de una configuración de persistencia separada. Como respaldo, también colocaron archivos en una carpeta biz_center en caso de que una actualización reemplazara el primer archivo.

El punto de secuestro sigue siendo desconocido. ESET dice que routers comprometidos con configuraciones de DNS incorrectas, routers que llevan un implante de secuestro de DNS, o la interceptación a nivel del proveedor de internet son todas posibilidades.

Malware DarkVigil, objetivos y defensa

DarkVigil es un conjunto de herramientas modulares de .NET con más de 20 plugins conocidos. Se comunica con su servidor de control utilizando el Duplex Message Transport Protocol (DMTP).

Este protocolo permite que el servidor envíe plugins al PC infectado, que los almacena en el registro de Windows y los ejecuta más tarde. Los datos robados se gestionan a través de un panel web con la marca "Vigil".

SlippyNunchucks ha estado activo al menos desde septiembre de 2023. Además de Sogou, ha abusado de otras aplicaciones chinas, incluyendo QuickFox, QingTalk, MiYunChat, SoftCam y tawk.to.

Esta táctica no es nueva. Anteriormente, la campaña de secuestro de actualizaciones de TAOTH utilizó un servidor de actualizaciones de Sogou Zhuyin caducado, y el secuestro del tráfico de actualizaciones de Notepad++ mostró cómo puede funcionar el secuestro selectivo de actualizaciones.

ESET dice que no vincula al grupo con Mustang Panda, aunque algunos informes públicos sí lo hacen. Los objetivos apuntan a intereses estatales. ESET encontró un intenso espionaje a una empresa que gestiona plataformas de apuestas en chino en Sri Lanka, Hong Kong y Filipinas.

Otras víctimas incluyeron un cibercafé en Dubái y un estudiante en Dinamarca. ESET juzga con alta confianza que el grupo trabaja en línea con los intereses del gobierno chino.

Debes actualizar Sogou Input Method a la versión 16.10 o posterior inmediatamente. Los equipos de seguridad deben buscar conexiones a los dominios e IPs detallados abajo y archivos con nombres de Adobe extraños dentro de la carpeta Components de Sogou.

Comprobar la configuración DNS del router también es prudente, ya que el mismo tipo de abuso de aplicaciones de Windows confiables en otras campañas vinculadas a China a menudo deja muy pocos rastros visibles.