گروه جاسوسی SlippyNunchucks با سوءاستفاده از ترافیک به‌روزرسانی یکی از محبوب‌ترین اپلیکیشن‌های کیبورد در چین، یعنی Sogou Input Method، موفق به نصب مخفیانه ابزار جاسوسی DarkVigil روی سیستم قربانیان شده است. تحقیقات ESET نشان می‌دهد که مهاجمان از طریق DNS Hijacking و با بهره‌برداری از استفاده این اپلیکیشن از پروتکل ناامن HTTP، ترافیک را منحرف کرده و فایل‌های مخرب را جایگزین می‌کنند. این روش به مهاجم اجازه می‌دهد تا با دستکاری در سطح روتر یا ISP، بدافزار را تزریق کند.
جزئیات فنی و تکنیک‌های مورد استفاده
بدافزار DarkVigil (که با نام FDMTP نیز شناخته می‌شود) یک مجموعه ابزار ماژولار مبتنی بر .NET است که بیش از ۲۰ پلاگین دارد. این بدافزار از فریم‌ورک TouchSocket استفاده کرده و برای ارتباط با سرور کنترل (C2)، از پروتکل اختصاصی DMTP بهره می‌برد که می‌تواند بر روی TCP، UDP، HTTP، WebSocket یا Named Pipes اجرا شود.
مهاجمان برای اجرای کدها از تکنیک Side-loading استفاده می‌کنند. در این سناریو، مهاجم با جایگزینی یک فایل قانونی (مانند Adobe Licensing WF Helper) با نامی تغییر یافته (biz_helper.exe) و همراه کردن آن با یک فایل DLL مخرب (libcef.dll)، باعث می‌شود که فرآیندهای اصلی نرم‌افزار Sogou، بدافزار را بارگذاری و اجرا کنند. این روش باعث می‌شود که مهاجم نیازی به ایجاد مکانیزم‌های مجزای Persistence نداشته باشد.
اقدامات مقابله‌ای و توصیه‌های امنیتی
شرکت Tencent با انتشار نسخه 16.10 از این نرم‌افزار، مشکل را از طریق اجبار به استفاده از پروتکل امن HTTPS و پیاده‌سازی Certificate Pinning برطرف کرده است. کاربران باید بلافاصله نرم‌افزار خود را به‌روزرسانی کنند.
تیم‌های امنیت و SOC باید موارد زیر را در شبکه خود رصد کنند:
- ارتباط با دامنه sogou-cdn[.]com
- آدرس‌های IP زیر: 47.239.250[.]102 و 47.237.122[.]175
- فایل‌های مشکوک مانند biz_helper.exe (با نام تغییر یافته) و فایل‌های libcef.dll غیرمنتظره در دایرکتوری‌های مربوط به Sogou.
- بررسی تنظیمات DNS و امنیت روترها برای جلوگیری از حملات دستکاری ترافیک.
