По данным ESET, с 1 июля 2026 года группировка SlippyNunchucks использовала небезопасные HTTP-запросы в Windows-версиях китайского метода ввода Sogou Input Method, чтобы перенаправлять запросы и устанавливать шпионский бэкдор DarkVigil, также известный как FDMTP. Среди целей были организации и китайскоязычные пользователи в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке.
SlippyNunchucks действует как минимум с 15 сентября 2023 года и нацеливается на организации и китайскоязычных людей в Южной и Восточной Азии. Группировка применяет модульную платформу : в неё входят DarkVigil и более 20 плагинов. Исследователь ESET Ан Хо отметил, что доставка через популярные китайские приложения позволила злоумышленникам добираться до китайскоязычных пользователей в Азии и Европе.
В качестве приманок и каналов доставки использовались Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam и . Ранее DarkVigil связывали с Mustang Panda. Однако ESET не обнаружила в своей телеметрии тактических пересечений между этой группировкой и атаками с DarkVigil и классифицировала SlippyNunchucks как отдельную группу вторжения. По оценке компании, это предполагаемая государственная шпионская операция, действующая с учётом интересов китайского правительства.
Sogou Input Method, популярный редактор для ввода китайского текста, разработан Tencent. В кампании SlippyNunchucks переключилась на него через три дня после того, как QuickFox выпустила чистую версию программы. Атака использовала механизм продвижения брендированных словарей Sogou. В обычной ситуации легитимный компонент SGTool.exe обращается по HTTP к адресу
При атаке DNS-запрос для этого домена подменяли. Запрос SGTool.exe перенаправлялся на один из двух серверов, откуда приходила вредоносная конфигурация. Она приказывала программе скачать два файла с
В отчёте ESET указаны серверы и связанные с ними домены:
В августе Fortinet's FortiGuard Incident Response Team описала компрометацию цепочки поставок QuickFox — VPN-инструмента и средства ускорения сетевого соединения — с целью доставки DarkVigil. Год в сообщении не уточнялся. Позднее, в выпуске от 29 октября 2026 года, затронутые HTTP-запросы перевели на HTTPS. Какой именно выпуск или версия имеется в виду, из доступной информации установить нельзя.
Отдельно ESET сообщила о масштабной слежке за организацией, которая управляет китайскоязычными платформами онлайн-ставок в Шри-Ланке, Гонконге и на Филиппинах. Этот выбор целей примечателен на фоне китайских ограничений на азартные игры: в стране предусмотрены уголовные наказания за ведение игорного бизнеса и за организацию азартных игр за рубежом для граждан Китая.
Sogou Input Method уже использовали как точку входа для распространения вредоносных программ и другие связанные с Китаем группы. В сентябре 2026 года Gen Digital сообщила об эксплуатации уже исправленной уязвимости CVE-2026-51990 группировкой UNC3569. С помощью специально созданной ссылки она доставляла бэкдор GRAYRABBIT. Цепочка объединяла три слабости: отсутствие проверки аргументов командной строки в обработчике пользовательского протокола
SlippyNunchucks действует как минимум с 15 сентября 2023 года и нацеливается на организации и китайскоязычных людей в Южной и Восточной Азии. Группировка применяет модульную платформу : в неё входят DarkVigil и более 20 плагинов. Исследователь ESET Ан Хо отметил, что доставка через популярные китайские приложения позволила злоумышленникам добираться до китайскоязычных пользователей в Азии и Европе.
В качестве приманок и каналов доставки использовались Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam и . Ранее DarkVigil связывали с Mustang Panda. Однако ESET не обнаружила в своей телеметрии тактических пересечений между этой группировкой и атаками с DarkVigil и классифицировала SlippyNunchucks как отдельную группу вторжения. По оценке компании, это предполагаемая государственная шпионская операция, действующая с учётом интересов китайского правительства.
Sogou Input Method, популярный редактор для ввода китайского текста, разработан Tencent. В кампании SlippyNunchucks переключилась на него через три дня после того, как QuickFox выпустила чистую версию программы. Атака использовала механизм продвижения брендированных словарей Sogou. В обычной ситуации легитимный компонент SGTool.exe обращается по HTTP к адресу
config.pinyin.sogou[.]com/api/BrandScd/getBrandScd.php, чтобы получить конфигурацию. При атаке DNS-запрос для этого домена подменяли. Запрос SGTool.exe перенаправлялся на один из двух серверов, откуда приходила вредоносная конфигурация. Она приказывала программе скачать два файла с
sogou-cdn[.]com: легитимный исполняемый файл Adobe biz_helper.exe и поддельную библиотеку libcef.dll с DarkVigil. Затем бэкдор запускался с помощью DLL sideloading — загрузки вредоносной библиотеки легитимным процессом. SGTool.exe при этом является настоящим компонентом Sogou и выполняет роль диспетчера разнообразных задач. В отчёте ESET указаны серверы и связанные с ними домены:
47.239.250[.]102 — sogou-cdn[.]com; 47.237.122[.]175 — dev.soft-png-cdn.com. DarkVigil связывается с командным сервером через Duplex Message Transport Protocol (DMTP). Протокол позволяет серверу злоумышленников управлять плагинами и запускать их на заражённом устройстве; среди возможных задач — закрепление в системе и сбор данных. В августе Fortinet's FortiGuard Incident Response Team описала компрометацию цепочки поставок QuickFox — VPN-инструмента и средства ускорения сетевого соединения — с целью доставки DarkVigil. Год в сообщении не уточнялся. Позднее, в выпуске от 29 октября 2026 года, затронутые HTTP-запросы перевели на HTTPS. Какой именно выпуск или версия имеется в виду, из доступной информации установить нельзя.
Отдельно ESET сообщила о масштабной слежке за организацией, которая управляет китайскоязычными платформами онлайн-ставок в Шри-Ланке, Гонконге и на Филиппинах. Этот выбор целей примечателен на фоне китайских ограничений на азартные игры: в стране предусмотрены уголовные наказания за ведение игорного бизнеса и за организацию азартных игр за рубежом для граждан Китая.
Sogou Input Method уже использовали как точку входа для распространения вредоносных программ и другие связанные с Китаем группы. В сентябре 2026 года Gen Digital сообщила об эксплуатации уже исправленной уязвимости CVE-2026-51990 группировкой UNC3569. С помощью специально созданной ссылки она доставляла бэкдор GRAYRABBIT. Цепочка объединяла три слабости: отсутствие проверки аргументов командной строки в обработчике пользовательского протокола
sgbiz:, неограниченную навигацию по URL во встроенном WebView на базе CEF и сильно устаревший браузерный движок Chromium без песочницы, уязвимый к CVE-2021-38003.
