Kelompok Peretas Manfaatkan Sogou Keyboard untuk Sebarkan Backdoor DarkVigil

Kelompok peretas yang diduga memiliki keterkaitan dengan kepentingan negara China menyalahgunakan aplikasi papan ketik populer Sogou Input Method untuk menyebarkan malware ke komputer Windows. Operasi tersebut memanfaatkan komunikasi jaringan aplikasi yang masih menggunakan HTTP tanpa enkripsi sehingga penyerang dapat mengalihkan permintaan ke server yang mereka kendalikan.

Peneliti keamanan ESET mengidentifikasi aktivitas ini sebagai operasi kelompok SlippyNunchucks, yang menggunakan malware bernama DarkVigil. Sejak 1 Juli 2026, aktivitas tersebut terpantau menargetkan organisasi dan pengguna berbahasa Mandarin di Hong Kong, Thailand, Jepang, Vietnam, Sri Lanka, dan Oman.

Temuan ini memperlihatkan bagaimana aplikasi yang sah dapat disalahgunakan sebagai jalur masuk serangan siber, bahkan tanpa harus mengeksploitasi kerentanan sistem operasi korban.

Manipulasi DNS Jadi Pintu Masuk Serangan

Dalam laporan yang diterbitkan pada 4 November 2026, ESET menjelaskan bahwa serangan memanfaatkan salah satu komponen Sogou Input Method bernama SGTool.exe.

Komponen tersebut menjalankan permintaan ke server resmi Sogou untuk mengambil konfigurasi yang berkaitan dengan fitur promosi kosakata bermerek. Fitur ini memungkinkan nama merek tertentu muncul dalam daftar rekomendasi karakter saat pengguna mengetik menggunakan metode Pinyin.

Masalahnya, sebagian komunikasi latar belakang aplikasi tersebut masih menggunakan HTTP. Karena tidak dilindungi enkripsi TLS, permintaan jaringan dapat dimanipulasi oleh pihak yang mampu mengendalikan resolusi DNS di lingkungan korban.

Dalam kampanye yang diamati ESET, penyerang mengarahkan permintaan ke server staging yang mereka kendalikan. Server tersebut kemudian memberikan konfigurasi palsu yang memerintahkan aplikasi mengunduh komponen berbahaya.

ESET belum memastikan bagaimana penyerang memperoleh kendali atas resolusi DNS korban. Beberapa kemungkinan yang masih diselidiki mencakup router yang telah dikompromikan, perubahan konfigurasi DNS berbahaya pada router, atau intersepsi di tingkat penyedia layanan internet.

Dengan demikian, belum ada dasar untuk menyimpulkan bahwa seluruh pengguna Sogou atau seluruh jaringan internet tertentu telah terdampak.

DarkVigil Disamarkan sebagai Komponen Aplikasi

Konfigurasi berbahaya yang diterima aplikasi mengarahkan pengunduhan dua file. Salah satunya merupakan program pembantu Adobe yang sah dan memiliki tanda tangan digital valid, tetapi namanya diubah menjadi biz_helper.exe.

File lainnya adalah implan DarkVigil yang disamarkan sebagai libcef.dll.

Penyerang juga memodifikasi nilai pemeriksaan integritas pada konfigurasi agar file yang diunduh dapat melewati mekanisme validasi aplikasi.

Selanjutnya, serangan memanfaatkan teknik DLL side-loading. Dalam teknik ini, program yang sah memuat pustaka DLL berbahaya yang ditempatkan di lokasi tertentu, sehingga kode malware dapat berjalan melalui proses aplikasi yang dipercaya.

Penyerang memanfaatkan alur pengelolaan komponen Sogou yang sudah tersedia. Akibatnya, DarkVigil dapat dijalankan ketika aplikasi memproses atau memuat komponen, tanpa memerlukan mekanisme persistensi terpisah.

ESET juga menemukan mekanisme cadangan yang menempatkan file di direktori komponen BizCenter. Mekanisme tersebut memungkinkan malware tetap memiliki jalur eksekusi ketika file utama tertimpa oleh pembaruan aplikasi.

DarkVigil Memiliki Lebih dari 20 Plugin

DarkVigil merupakan perangkat malware modular berbasis .NET yang juga dikenal sebagai FDMTP. ESET menyebut perangkat ini memiliki lebih dari 20 plugin yang diketahui.

Malware berkomunikasi dengan server kendali menggunakan Duplex Message Transport Protocol (DMTP). Protokol tersebut memungkinkan server mengirimkan modul tambahan ke komputer yang telah terinfeksi.

Plugin yang diterima dapat disimpan dalam Windows Registry, kemudian dimuat dan dijalankan oleh lingkungan .NET. Arsitektur ini memberikan operator malware kemampuan untuk mengelola fungsi tambahan dari jarak jauh.

Data yang dikumpulkan malware dikelola melalui panel administrasi web dengan merek Vigil.

ESET telah melacak ekosistem DarkVigil sejak awal 2025. Selain Sogou Input Method, SlippyNunchucks juga tercatat menyalahgunakan sejumlah aplikasi lain, termasuk QuickFox, QingTalk, MiYunChat, SoftCam, dan tawk.to.

ESET Tidak Mengaitkannya dengan Mustang Panda

ESET menilai SlippyNunchucks sebagai kelompok yang selaras dengan kepentingan negara China. Penilaian tersebut didasarkan pada pola target dan aktivitas pengawasan yang ditemukan selama investigasi.

Namun, ESET secara khusus menyatakan belum menemukan keterkaitan aktivitas DarkVigil dengan Mustang Panda, meskipun sejumlah laporan publik sebelumnya menghubungkan keduanya.

Karena itu, SlippyNunchucks sebaiknya tidak langsung disebut sebagai Mustang Panda atau dianggap sebagai kelompok yang sama. ESET saat ini melacaknya sebagai aktor ancaman yang berbeda.

Peneliti juga menemukan aktivitas pengawasan terhadap organisasi yang mengoperasikan platform taruhan daring berbahasa Mandarin di Sri Lanka, Hong Kong, dan Filipina. Korban lain yang disebut dalam laporan mencakup sebuah warnet di Dubai dan seorang mahasiswa di Denmark.

Tencent Telah Memperbaiki Kelemahan pada Sogou Versi 16.10

ESET melaporkan kelemahan tersebut kepada Tencent Security pada 11 September 2026. Tencent mengakui laporan itu pada 21 September dan merilis perbaikan melalui Sogou Input Method versi 16.10 pada 30 Oktober 2026.

Perbaikan tersebut memindahkan permintaan HTTP yang terdampak ke HTTPS serta menerapkan validasi sertifikat dan certificate pinning. Perubahan ini membantu mencegah konfigurasi palsu dikirimkan melalui manipulasi DNS.

Kerentanan tersebut kemudian memperoleh identitas CVE-2026-120422 pada 2 November 2026.

Pengguna Sogou Input Method di Windows disarankan segera memperbarui aplikasi ke versi 16.10 atau yang lebih baru. Organisasi yang menggunakan aplikasi tersebut juga perlu memeriksa komputer yang berpotensi terdampak, terutama jika ditemukan aktivitas jaringan atau file komponen yang tidak biasa.

Langkah Mitigasi untuk Pengguna dan Tim Keamanan

Kasus ini menunjukkan bahwa keamanan aplikasi tidak hanya bergantung pada reputasi pengembang atau tanda tangan digital file. Komunikasi jaringan yang tidak terenkripsi dapat membuka peluang bagi penyerang untuk menyisipkan konfigurasi berbahaya.

Beberapa langkah yang dapat dilakukan pengguna dan administrator sistem antara lain:

• Perbarui Sogou Input Method: Pastikan menggunakan versi 16.10 atau yang lebih baru pada Windows.
• Periksa konfigurasi DNS: Tinjau pengaturan DNS pada router dan komputer, terutama jika terdapat perubahan yang tidak dikenali.
• Periksa komponen aplikasi: Tim keamanan dapat menelusuri direktori komponen Sogou untuk menemukan file atau executable yang tidak semestinya berada di sana.
• Pantau indikator kompromi: Gunakan indikator kompromi yang dipublikasikan ESET untuk membantu proses pemeriksaan melalui perangkat keamanan yang tersedia.
• Lakukan investigasi jika ditemukan anomali: Jangan hanya menghapus file mencurigakan. Periksa kemungkinan pencurian kredensial, akses lanjutan, dan perubahan lain pada sistem.
• Batasi komunikasi jaringan yang tidak aman: Organisasi perlu memastikan aplikasi yang digunakan tidak mengirimkan konfigurasi atau data penting melalui HTTP tanpa perlindungan yang memadai.

Kasus SlippyNunchucks menjadi pengingat bahwa aplikasi tepercaya pun dapat menjadi perantara serangan ketika mekanisme pembaruan, konfigurasi, atau komunikasi jaringannya tidak dirancang dengan perlindungan yang memadai.

Bagi organisasi, memperbarui perangkat lunak dan memantau lalu lintas jaringan tetap menjadi bagian penting dari pertahanan terhadap serangan berbasis penyalahgunaan aplikasi yang sah.