Sogou Input Method – DNS hijacking in DarkVigil backdoor
ESET je odkril, da so hekerji izkoristili ranljivost v Sogou Input Method, da bi preko DNS hijackinga namestili zlonamerni program DarkVigil.
- novembra 2026 je ESET razkril, da so hekerji pod imenom SlippyNunchucks izkoristili ranljivost v Windows različicah programa Sogou Input Method. Napad je temeljil na DNS hijackingu, ki je preusmeril zahteve na zlonamerni strežnik. Tako je bil na ciljnih računalnikih nameščen backdoor DarkVigil.
Kako je napad deloval
Napadalci so spremenili DNS zapis za domeno config.pinyin.sogou.com. V čisti namestitvi program pošlje HTTP zahtevo na to domeno, da pridobi konfiguracijo. Zaradi preusmeritve je zahteva prišla na strežnik 47.239.250.102 ali 47.237.122.175, ki je vrnil zlonamerno konfiguracijo. Ta je nato naložila dodatne komponente preko legitimnega procesa SGTool.exe in izvedla DLL sideloading z zlonamernim libcef.dll.
Kdo je bil prizadet
Kampanja, ki se je začela 1. julija 2026, je ciljala organizacije in kitajsko‑govorijoče uporabnike v Hongkongu, Tajvan, Japonski, Vietnamu, Omanu in Šrilanki. Med cilji so bili tudi podjetja, ki ponujajo kitajske spletne stave. V Sloveniji je Sogou Input Method redko uporabljen, a je potencialna grožnja prisotna, če uporabniki nameščajo nepreverjene aplikacije iz kitajskih virov.
Kaj to pomeni za vas
Pri Vuma TECH vas spodbujamo, da sprejmete naslednje ukrepe, da se zaščitite pred podobnimi napadi:
- Odstranite neznane vnosne metode – Če ne uporabljate Sogou Input Method, ga odstranite prek nadzorne plošče.
- Redno posodabljajte sistem in aplikacije – Namestite najnovejše popravke, zlasti za programe, ki obdelujejo internetne zahteve.
- Uporabljajte HTTPS – Prepričajte se, da so vse povezave šifrirane; izognite se programom, ki pošiljajo podatke po HTTP.
- Spremljajte DNS zahteve – Z orodji za varnostno analizo preverite, ali se vaš računalnik povezuje na neznane IP naslove.
- Namestite zanesljivo zaščito – Uporabite antivirus, ki zazna zlonamerne DLL‑e in nenavadno omrežno dejavnost.
Če sumite, da je vaš telefon ali računalnik okužen, takoj:
- Prijavite incident na SI‑CERT (www.si-cert.si).
- Obvestite Varni na internetu (www.varninainternetu.si).
- V primeru izgube denarja kontaktirajte vašo banko in policijo (klic 113).
S temi koraki zmanjšate tveganje, da bi se vaš sistem znašel pod nadzorom tujih akterjev.
povzeto po: the hacker news
Potrebujete pomoč s telefonom?
Servis Vuma TECH v Mariboru in Ljubljani: brezplačna diagnostika, popravila z garancijo in obnovljeni telefoni Vuma ReCycle.
