یک گروه تهدید (Threat Actor) با نام SlippyNunchucks، از مکانیزم‌های تبلیغاتی اپلیکیشن Sogou Input Method برای توزیع مجموعه‌ابزار بدافزاری DarkVigil استفاده کرده است. این گروه با سوءاستفاده از ترافیک برنامه‌های قانونی، کانالی برای توزیع بدافزار در شش کشور ایجاد کرده است.
جزئیات حمله و مکانیزم DNS Hijacking
این حمله از طریق دستکاری سیستم نام دامنه (DNS Hijacking) انجام می‌شود. یک مؤلفه در اپلیکیشن Sogou، پیکربندی‌های مربوط به تبلیغات برند را از طریق پروتکل ناامن HTTP دریافت می‌کرد. مهاجمان با تغییر مسیر این درخواست‌ها به سرورهای تحت کنترل خود، یک پیکربندی مخرب را بازگرداندند.
این پیکربندی باعث می‌شود اپلیکیشن، بدافزار DarkVigil را دانلود و در مسیرهای اجرای خود قرار دهد که منجر به ایجاد پایداری (Persistence) در سیستم بدون نیاز به مکانیزم‌های اضافی می‌شود. احتمال می‌رود این دستکاری DNS در سطح روترها یا حتی در سطح ارائه‌دهندگان خدمات اینترنت (ISP) صورت گرفته باشد.
درباره بدافزار DarkVigil
بدافزار DarkVigil (که با نام FDMTP نیز شناخته می‌شود) یک مجموعه‌ابزار ماژولار مبتنی بر .NET است که بیش از ۲۰ پلاگین مختلف دارد. این بدافزار برای اهداف جاسوسی و نظارتی طراحی شده است و فعالیت‌های آن در چندین کشور از جمله هنگ‌کنگ، تایلند، ژاپن، ویتنام، سریلانکا و عمان رصد شده است.
اقدامات اصلاحی و وضعیت فعلی
پس از شناسایی این آسیب‌پذیری، شرکت Tencent نسخه جدیدی از Sogou Input Method را منتشر کرد که در آن درخواست‌ها به پروتکل امن HTTPS منتقل شده و از قابلیت Certificate Pinning استفاده می‌شود. با این حال، بررسی‌ها نشان می‌دهد که همچنان خلأهایی در بخش Downloader مربوط به اعتبارسنجی نوع فایل‌های دانلود شده یا محدود کردن محل ذخیره‌سازی فایل‌ها وجود دارد.
