中国系グループ、Sogou入力メソッドを悪用してマルウェアを配布

中国系のグループが、Sogou入力メソッド（Sogou Input Method）のブランドプロモーション機能を乗っ取り、6カ国のユーザーにDarkVigilツールセットを配布していたことが分かりました。正規アプリの通信が、マルウェアの配布経路に変えられていました。

ESETの研究者Anh Ho氏は、11月4日に公開された調査レポートで、この活動の詳細を明らかにしました。同氏はこのグループを「SlippyNunchucks」と命名し、少なくとも2023年9月15日にまでさかのぼる活動を確認しています。ESETは、このグループが中国政府の利益に沿った国家レベルの監視活動に関与していると、高い確度で評価しています。

キャンペーンが始まったのは2026年7月1日です。中国語キーボードアプリとして人気の高い、Tencent傘下のSogou入力メソッドのユーザーに、DarkVigilのインプラントが配信され始めました。被害者の数と地理的な広がりから、ESETは当初、脆弱性悪用を疑ったといいます。

乗っ取られたSogouの通信、6カ国に到達

Sogouのコンポーネントは、ブランドプロモーションの設定情報を、暗号化されていないHTTPでSogouのサーバーから取得していました。攻撃者はドメインネームシステム（DNS）ハイジャックによってこれらのリクエストを自らが管理するサーバーへ誘導し、悪意のある設定を返していました。

この設定により、アプリはDarkVigilのインプラントをダウンロードし、Sogou自身のコンポーネントが実行する場所に配置します。そのため、別の仕組みを使わなくても、マルウェアは永続化できました。

DNSの改ざんがどこで行われたのか、ESETは把握していません。可能性としては、悪意のあるDNS設定を施したルーター、DNSをハイジャックするために仕込まれたルーター、インターネットサービスプロバイダー（ISP）レベルでの通信傍受などが考えられます。

被害者は香港、タイ、日本、ベトナム、スリランカ、オマーンにいました。その中には、スリランカ、フィリピン、香港を拠点とする多国籍のギャンブル関連組織、ドバイのインターネットカフェ、デンマークの大学生が含まれています。ただし、ESETは被害者数を明らかにしていません。

中国系グループによるアップデート乗っ取りについては、こちらもご覧ください：PlushDaemon Hackers Unleash New Malware in China-Aligned Spy Campaigns

TencentがSogouを修正、ESETは残る課題を指摘

DarkVigilはFDMTPとしても知られ、20以上のプラグインを備えたモジュール型の.NETツールセットです。Darktraceは中程度の確度でFDMTPをMustang Pandaと関連付けていました。しかしESETは、自社のテレメトリではこのグループとの重複は見られなかったとして、SlippyNunchucksを別のグループとして追跡しています。

Sogouを使ったキャンペーンの前に、このグループで公に確認されていた配布手法は、QuickFoxのサプライチェーン侵害だけでした。ESETは、ギャンブル分野を標的にした背景として、中国によるギャンブル規制と、地域の詐欺に関与する中国人への法執行を中国系グループが支援しているとみられることを挙げています。

ESETは9月11日にこの問題をTencentに報告し、Tencentは9月21日に受領を確認しました。10月下旬にリリースされたSogou入力メソッドのバージョン16.10では、該当するリクエストがHTTPSに移行され、証明書ピンニングも有効になりました。

ESETによると、ダウンローダーコンポーネントは、ダウンロードしたファイルの種類を依然として検証しておらず、ファイルの保存先も制限していません。

今回の修正により、攻撃者が悪用した暗号化なしのリクエストは塞がれました。ただし、DNSハイジャックがどこで行われたのかは、いまだ分かっていません。