SlippyNunchucks secuestra el mecanismo de promoción de marcas de Sogou Input Method para distribuir malware

En ESET hemos estado siguiendo el conjunto de herramientas DarkVigil (también conocido como FDMTP) y a su operador, el actor de amenazas SlippyNunchucks, desde 2025. En las campañas que hemos analizado, un comportamiento se ha mantenido constante: los implantes de DarkVigil suelen desplegarse a través de aplicaciones chinas populares. Al abusar de estas aplicaciones, el actor de amenazas SlippyNunchucks ha logrado llegar a usuarios de habla china en Asia y Europa. Hasta ahora, la forma en que estas aplicaciones estaban siendo utilizadas para lograr la ejecución había permanecido en gran medida poco clara.

Hasta el momento, solo se ha identificado públicamente un vector de ataque: un compromiso de la cadena de suministro de QuickFox. Este incidente fue analizado en un artículo de Fortinet y, de forma independiente, en un informe de ESET Threat Intelligence. Poco después de que terminara el compromiso de la cadena de suministro, SlippyNunchucks pasó a abusar de Sogou Input Method para desplegar DarkVigil.

El 1 de julio de 2026, tres días después de que QuickFox publicara una versión limpia, seguimos observando implantes de DarkVigil siendo ejecutados, esta vez por el componente SGTool.exe de Sogou Input Method. Una investigación adicional reveló que una solicitud, perteneciente al mecanismo de promoción de vocabulario de marca de la aplicación, había sido secuestrada para entregar una configuración maliciosa. Esta configuración instruye al binario a colocar payloads en ubicaciones seleccionadas que permiten su ejecución a través de los flujos de trabajo existentes de Sogou Input Method.

Tras descubrir la operación, nos pusimos en contacto con el Tencent Security Response Center para informar sobre el abuso y compartir nuestros hallazgos. Tencent respondió rápidamente y publicó una actualización para abordar el problema. Agradecemos enormemente la rápida respuesta y cooperación del equipo.

Cronología de la divulgación de la vulnerabilidad:

• 2026‑09‑11: ESET Research informó la debilidad de seguridad al equipo de seguridad de Tencent
• 2026‑09‑21: Tencent respondió y reconoció el problema.
• 2026‑10‑30: Tencent corrigió el problema en la versión 16.10.
• 2026‑11‑02: ESET CNA emitió un identificador CVE para la vulnerabilidad (CVE-2026-120422).
• 2026‑11‑04: ESET Research publicó esta entrada de blog

Puntos clave de esta entrada de blog:

•  
• Desde 2025, hemos estado siguiendo el ecosistema de malware DarkVigil y a su operador, al que denominamos SlippyNunchucks.
•  
• Descubrimos una operación de secuestro de DNS de SlippyNunchucks que abusa del uso de comunicaciones HTTP inseguras por parte de Sogou Input Method.
•  
• En nuestra telemetría, observamos que esta operación tuvo como objetivo organizaciones y personas de habla china en Hong Kong, Tailandia, Japón, Vietnam, Omán y Sri Lanka.
•  
• El punto en el que ocurre la manipulación del DNS sigue siendo desconocido.
• Analizamos la arquitectura de C&C de DarkVigil, que utiliza el protocolo Duplex Message Transport Protocol.

Perfil de SlippyNunchucks

SlippyNunchucks es un actor de amenazas alineado con China que ha estado activo al menos desde el 15 de septiembre de 2023. Sus actividades de ciberespionaje se centran en el despliegue y operación del conjunto de herramientas DarkVigil (también conocido como FDMTP). DarkVigil es un conjunto de herramientas modular desarrollado en .NET que incluye el implante DarkVigil y más de 20 plugins conocidos. El conjunto de herramientas está construido sobre el framework de malware Vigil, que a su vez está construido sobre el framework de redes TouchSocket. TouchSocket implementa DMTP, un protocolo de red que DarkVigil utiliza para las comunicaciones de C&C. Los datos exfiltrados por el malware se gestionan a través de un panel web de administración que también lleva la marca Vigil.

SlippyNunchucks apunta principalmente a organizaciones y personas de habla china en el sur y el este de Asia. Ocasionalmente, el grupo ha apuntado a víctimas en Europa, incluyendo individuos en Alemania, Rusia, Reino Unido y Austria. Entre las víctimas destacadas se encuentran una organización multinacional de apuestas que opera en Sri Lanka, Filipinas y Hong Kong; un cibercafé en Dubái; y un estudiante universitario en Dinamarca.

Contexto

ESET Research ha estado siguiendo el conjunto de herramientas DarkVigil (o FDMTP) desde principios de 2025. El nombre DarkVigil deriva del nombre interno del framework de malware, Vigil, que aparece en referencias de bibliotecas como using Vigil.Frame y using Vigil.Core, y en rutas PDB como:

• C:\Users\PT\Desktop\VigilPro\Client\Dotnet\Client.Core\[omitido]
• C:\Users\PT\Desktop\VigilⅢ\Client\Dotnet\Plugins\[omitido]

Además, descubrimos el panel web de administración utilizado para gestionar los datos exfiltrados por el implante. El panel muestra un logotipo con el nombre Vigil, como se muestra en la Figura 1.

En nuestra telemetría, la actividad relacionada con DarkVigil forma un clúster distintivo indicativo de un grupo APT alineado con China cuyas operaciones se centran en el despliegue y uso de este conjunto de herramientas. Realizamos el seguimiento de este actor de amenazas bajo el nombre SlippyNunchucks.

Contrariamente a los reportes públicos que atribuyen DarkVigil a Mustang Panda (también conocido como Twill Typhoon), nuestra telemetría no ha revelado ninguna superposición entre la actividad relacionada con DarkVigil y la actividad de Mustang Panda. Consideramos que SlippyNunchucks es un grupo APT alineado con China distinto, al que seguimos de manera independiente y para el que actualmente no tenemos asociaciones conocidas con Mustang Panda.

Desde 2025, SlippyNunchucks ha abusado de varias aplicaciones chinas, incluidas Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam y tawk.to, para desplegar implantes DarkVigil. Este enfoque ha permitido a SlippyNunchucks llegar a usuarios de habla china en el extranjero, particularmente en Asia y Europa. Basándonos en patrones consistentes en la victimología y las tácticas, consideramos con un alto grado de confianza que SlippyNunchucks está asociado con un esfuerzo de vigilancia estatal alineado con los intereses del gobierno chino.

SlippyNunchucks apunta a organizaciones e individuos de múltiples sectores, y descubrimos una actividad de vigilancia significativa contra una organización que opera plataformas de apuestas en línea en idioma chino en Sri Lanka, Hong Kong y Filipinas. La selección de esta organización es notable dadas las restricciones de China sobre los juegos de azar, incluidas sanciones penales por operar negocios de apuestas y organizar que ciudadanos chinos apuesten en el extranjero. Junto con la victimología más amplia, este patrón de selección de objetivos respalda aún más nuestra evaluación de que SlippyNunchucks está alineado con los intereses del Estado chino.

Esto sigue un patrón que hemos observado en varias operaciones en las que grupos APT alineados con China parecen apoyar acciones de aplicación de la ley contra ciudadanos chinos vinculados a esquemas de fraude en la región. Estas actividades ocurren en medio de mayores esfuerzos de las autoridades chinas para tomar medidas contra la industria de las estafas en el sudeste asiático, impulsados en parte por la creciente presión interna relacionada con ciudadanos chinos atraídos a países vecinos y obligados a trabajar en complejos dedicados a estafas.

Resumen de la campaña

A partir del 1 de julio de 2026, observamos que víctimas en Hong Kong, Tailandia, Japón, Vietnam, Sri Lanka y Omán estaban recibiendo el implante DarkVigil mientras utilizaban Sogou Input Method. Inicialmente, el volumen de compromisos y la diversidad geográfica de las víctimas daban la impresión de que podría estar involucrado un exploit. Sin embargo, una investigación posterior reveló una operación de secuestro de DNS que abusaba del uso de comunicaciones HTTP inseguras por parte de la aplicación. El punto en el que ocurre la manipulación del DNS sigue siendo desconocido, por lo que el vector de secuestro continúa sin resolverse. Entre las posibilidades consideradas se incluyen routers comprometidos con configuraciones DNS modificadas y maliciosas, routers comprometidos con un implante que secuestra solicitudes DNS o interceptación a nivel del proveedor de servicios de Internet (ISP).

Sogou Input Method (también conocido como Sogou Pinyin) es uno de los editores de métodos de entrada (IME) para escribir caracteres chinos más utilizados en computadoras y dispositivos móviles (véase la Figura 2). Fue lanzado en 2006 por Sogou, originalmente parte de Sohu, y actualmente es propiedad de Tencent tras la adquisición de Sogou por parte de Tencent en 2021.

Este popular IME ya ha aparecido anteriormente en investigaciones de inteligencia de amenazas, incluido un análisis de Citizen Lab en 2023 sobre vulnerabilidades que podrían permitir a un espía de red descifrar comunicaciones sensibles, y la reciente divulgación por parte de Gen Threat Labs de la vulnerabilidad de ejecución remota de código CVE‑2026‑51990.

Sogou Input Method utiliza colecciones especializadas, conocidas como diccionarios de celdas (细胞词库), para ampliar su vocabulario y mejorar la predicción de texto en chino. En abril de 2016, Sogou introdujo el Programa de apoyo a marcas emergentes (创业品牌支持计划), que permitía a empresas emergentes enviar sus nombres de marca para su inclusión en el vocabulario del IME. Una vez aprobados, estos nombres podían aparecer directamente en la lista de candidatos cuando los usuarios escribían el pinyin correspondiente, acompañados por un pequeño icono de brote verde (新芽) para distinguirlos de las entradas normales del vocabulario.

La solicitud secuestrada por SlippyNunchucks está asociada con este mecanismo de promoción de marcas. Concretamente, recupera una configuración para descargar iconos asociados con diccionarios de celdas promocionados por marcas, incluido el icono del brote verde.

El 29 de octubre de 2026, Tencent publicó la versión 16.10, que resuelve el problema migrando las solicitudes HTTP afectadas a HTTPS. Este cambio mitiga el riesgo de entrega de configuraciones maliciosas mediante secuestro de DNS al imponer la validación de certificados TLS.

Análisis técnico

Análisis del secuestro de DNS

Como parte del mecanismo de promoción de marcas de Sogou Input Method, SGTool.exe, uno de sus componentes, envía una solicitud HTTP al endpoint config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php para recuperar una configuración para los iconos asociados con los diccionarios de celdas promocionados por marcas. En un entorno limpio, el endpoint responde con una configuración cifrada mediante AES‑256‑CBC utilizando una clave y un IV incrustados en la sección .rdata de SGTool.exe. Una vez descifrada, la configuración contiene una instrucción para descargar un icono de un pequeño brote verde (tree.png), un símbolo del Programa de Apoyo a Marcas Emergentes; véase la Figura 3.

SGTool.exe es un componente legítimo de Sogou Input Method que funciona como un despachador de tareas multipropósito. El binario analiza un identificador de comando suministrado mediante el argumento de línea de comandos –appid= y dirige la ejecución al controlador específico de la aplicación correspondiente. Identificamos al menos 30 identificadores de comandos asociados con funciones como la instalación del IME, la gestión de temas, actualizaciones de diccionarios, descargas de Chromium Embedded Framework (CEF) y otras operaciones.

Cabe destacar que, en la ruta de ejecución asociada con –appid=scdreg -update, el componente SGTool.exe invoca un controlador que envía una solicitud HTTP a config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php para recuperar la configuración.

El dominio config.pinyin.sogou[.]com es un host backend oficial de Sogou Input Method. El dominio es accesible a través de HTTPS y, cuando accedimos a él, presentó un certificado TLS válido para Tencent Technology (Shenzhen) Company Limited (SHA‑1: F4E0B9A3B3FA449DFC77A596B44B4560B4D05A57). En contraste, nuestro análisis de SGTool.exe reveló 20 endpoints de solicitud en este host a los que la aplicación accede mediante HTTP sin cifrar en lugar de HTTPS. Entre ellos se encuentra el endpoint getBrandScd.php.

En los entornos de las víctimas, la resolución DNS de config.pinyin.sogou[.]com era controlada por el atacante, quien la resolvía hacia uno de sus servidores de staging: 47.239.250[.]102 o 47.237.122[.]175, ambos sirviendo el dominio controlado por el atacante sogou-cdn[.]com. Posteriormente, las solicitudes HTTP al endpoint getBrandScd.php eran dirigidas a uno de los servidores de staging, que respondía con una configuración maliciosa.

La configuración maliciosa está cifrada de manera similar a la legítima. Su contenido descifrado se muestra en la Figura 4.

Esta configuración instruye al binario a descargar dos payloads desde los servidores de staging detrás de sogou-cdn[.]com:

• el Adobe Licensing WF Helper legítimo y firmado, renombrado como biz_helper.exe (SHA‑1: 79188C8DE2378B437D39E867475C5B4714A0D7C9), y
• el implante de DarkVigil libcef.dll.

El atacante modificó los campos md5 para que coincidieran con los payloads, permitiéndole controlar la validación de integridad. Los campos de icon especifican las rutas de destino para estos archivos. Las ubicaciones son seleccionadas para permitir la ejecución de los payloads mediante uno de dos mecanismos existentes:

• la utilidad de admnistración de componentes SogouComMgr.exe, o
• la carga del componente BizCenterCom (véase la figura 5).

Sogou Input Method administra los componentes almacenados en \SogouInput\Components\ mediante una utilidad separada llamada Sogo.exe, ubicada en el mismo directorio. SGTool.exe inicia SogouComMgr.exe con argumentos de línea de comandos como -installdoall <component_path>, -invoke y -remove  para instalar un nuevo componente, cargar un componente desde un bundle determinado o eliminar un componente, respectivamente.

La configuración maliciosa instruye a SGTool.exe para guardar el binario legítimo de Adobe (biz_helper.exe) como \Components\SogouComMgr.exe.. Como consecuencia, cada vez que SGTool.exe intenta instalar o cargar un componente, ejecuta en su lugar este binario de Adobe. El biz_helper.exe disfrazado realiza side-loading de la DLL maliciosa\Components\libcef.dll, lo que resulta en la ejecución del implante DarkVigil. Al reutilizar un flujo de trabajo existente, esta técnica proporciona persistencia sin requerir un mecanismo de persistencia independiente.

Si una actualización de software sobrescribe SogouComMgr.exe, DarkVigil aún puede ejecutarse mediante los payloads ubicados bajo \Components\biz_center\\. En nuestro análisis observamos que SGTool.exe iniciaba frecuentemente SogouComMgr.exe con el argumento de línea de comandos -invoke BizCenterComBundle BizCenterCom, lo que daba como resultado la ejecución del  biz_helper.exe disfrazado desde el directorio correspondiente versionado bajo biz_center.

De manera similar al mecanismo anterior, este enfoque no requiere un mecanismo de persistencia independiente porque reutiliza el flujo de trabajo de carga de componentes de Sogou Input Method. Sin embargo, es sensible a actualizaciones que introduzcan una nueva versión de biz_center, ya que la aplicación puede cargar componentes desde un directorio versionado diferente.

Debido a que un método reemplaza el SogouComMgr.exe legítimo y el otro depende del binario legítimo, solo uno de los flujos de ejecución puede lograrse en un momento determinado. Además, ambos métodos son altamente destructivos y susceptibles de provocar fallos en el software.

Tras nuestra divulgación, Tencent publicó la versión 16.10 el 30 de octubre de 2026. Esta actualización migró las solicitudes HTTP afectadas hacia HTTPS e incorporó certificate pinning.

Análisis de la comunicación de red de DarkVigil

El aspecto más interesante de DarkVigil es su uso de Duplex Message Transport Protocol (DMTP), un protocolo de red. En esta sección presentamos nuestro análisis de las comunicaciones de C&C de DarkVigil utilizando este protocolo, realizado en 2025. Las versiones más recientes pueden incorporar funcionalidades adicionales o nombres de métodos diferentes; sin embargo, el funcionamiento interno debería seguir muy de cerca nuestro análisis.

DMTP es un protocolo de datos binarios que opera en la capa de aplicación del modelo OSI. DMTP puede ejecutarse sobre diversos protocolos, incluidos TCP, UDP, HTTP, WebSocket e incluso pipes con nombre, lo que lo hace extremadamente versátil para facilitar la comunicación de red.

Para el desarrollo de puertas traseras, DMTP ofrece dos capacidades que lo hacen particularmente adecuado para las comunicaciones de C&C y la orquestación de plugins:

• un mecanismo de llamada a procedimiento remoto (RPC) inversa, y
• soporte simultáneo para canales de comunicación servidor-cliente y cliente-cliente.

En los párrafos siguientes examinamos el código de DarkVigil, utilizando la Figura 6 como guía para demostrar cómo estas dos características contribuyen a la singularidad de las comunicaciones de red de DarkVigil.

Ciclo de vida de la conexión

En el framework DarkVigil, tanto el cliente como el servidor deben implementar su propio conjunto de plugins DMTP (véase la Figura 6); cada plugin es responsable de enviar y procesar mensajes DMTP durante las distintas etapas del ciclo de vida de la conexión. Cada plugin DMTP escucha un evento de conexión y responde cuando dicho evento es activado. Por ejemplo, el plugin del lado cliente HandshakePlugin (véase la Figura 7) escucha el evento OnDmtpHandshaked, que se activa cuando el cliente DarkVigil se conecta exitosamente al servidor de C&C. Como respuesta, el plugin inicia la conversación enviando el perfil de la víctima.

Solicitud y respuesta de comandos

DarkVigil emite y recibe comandos mediante RPC. La Figura 7 muestra un ejemplo del cliente invocando el método RPC ClientInfo, pasando un arreglo de datos que contiene el perfil de la víctima al servidor de C&C.

• ClientInfo: el método RPC implementado en el servidor C&C para procesar el perfil de la víctima;
• InvokeOption.WaitInvoke: un indicador que especifica que el cliente debe esperar la respuesta de finalización del servidor, y
• array: un búfer que contiene el perfil de la víctima, pasado como argumento a la llamada a ClientInfo en el servidor.

En la arquitectura de DarkVigil, un método RPC, funcionalmente similar a un controlador de comandos, se implementa en ambos extremos de la conexión. Las invocaciones pueden estar anidadas; por ejemplo, ClientInfo puede invocar un método RPC del lado cliente durante su ejecución, y luego el método del lado cliente puede volver a activar un método del lado servidor. Este es el mecanismo RPC inverso mencionado anteriormente y es gestionado por la clase DmtpRpcActor, a la que nos referiremos como el actor RPC.

Cuando llega un mensaje DMTP, los plugins DMTP lo inspeccionan. Si ningún plugin procesa el mensaje, este se pasa al actor RPC para su inspección. Si el actor RPC encuentra el nombre del método, busca el código en una biblioteca RPC denominada RpcStore y lo ejecuta. RpcStore es donde se registran todos los servicios RPC.

Un servicio RPC es un conjunto de métodos RPC relacionados que persiguen un objetivo común. Por ejemplo, el cliente DarkVigil implementa dos servicios (véase la figura 8):

• PluginService: contiene métodos para gestionar y ejecutar complementos de DarkVigil, y
• OptionService: contiene métodos para desconectar o cerrar el cliente.

Orquestación de complementos

La función principal del cliente DarkVigil es ejecutar y orquestar complementos (módulos externos) que instalan persistencia o realizan recopilación de datos. PluginService (ver Figura 8) proporciona las herramientas necesarias para esta orquestación.

El ciclo de vida de un complemento comienza cuando el servidor C&C envía un complemento al cliente utilizando la capacidad de transferencia de archivos integrada en DMTP. Una vez entregado, el servidor invoca el método RegistryPlugin, que almacena el binario comprimido del complemento en la clave de registro: HKCU\Software\Microsoft\IME\\pluginHash. Posteriormente, el servidor invoca el método RunPlugin, que descomprime los datos binarios recuperados de dicha clave del registro, los carga en el entorno .NET e invoca el método Run de la clase Plugin.Plugin. En este punto, el complemento se ejecuta correctamente.

Dentro del método Run, el complemento recibe dos argumentos: un puntero a la conexión DMTP del cliente y un controlerID proporcionado por el servidor C&C. Utilizando estos dos argumentos, el complemento establece una conexión indirecta con el servidor C&C (véase la figura 9), utilizando al cliente como relé. Este diseño se basa en la capacidad de DMTP para admitir simultáneamente canales de comunicación tanto cliente-cliente como cliente-servidor.

Para solicitar una conexión con el servidor C&C, el complemento debe proporcionar un valor PluginID (véase la figura 9), que se genera concatenando los siguientes elementos:

• ProtocolType: normalmente se establece en TcpDmtp.
• HWID: idetificador generado por el cliente mediante una combinación de un mutex codificado y datos de la víctima, como nombre de usuario, nombre del equipo, dirección MAC y otros.
• controlerID: un identificador proporcionado por el servidor C&C, que utiliza el prefijo Server.
• randomID: un número generado de forma pseudoaleatoria.
• PluginName: en este ejemplo, el complemento se llama Pillager.

Una vez establecida la conexión, el complemento puede invocar cualquier método RPC del lado del cliente o del lado del servidor, utilizando una función de retransmisión denominada SendPluginMsg, tal y como se muestra en la figura 10.

Cuando el complemento pasa un argumento targetID a SendPluginMsg, el cliente invoca el método RPC del lado del servidor y reenvía la respuesta. Si no se incluye targetID, el cliente busca el método en su propia biblioteca RpcStore y, a continuación, lo ejecuta.

Protocolo de red

DMTP utiliza una estructura de mensaje sencilla que consta de cuatro secciones: encabezado, indicador, longitud y datos. El tamaño y la descripción de cada sección se indican en la Tabla 1.

Tabla 1. Estructura del paquete DMTP

La figura 11 muestra los primeros mensajes entre DarkVigil y el servidor C&C. DarkVigil inicia la conexión enviando una solicitud de establecimiento de conexión DMTP, que incluye:

• un token de autenticación —se utilizó el token predeterminado Dmtp—,
• metadatos: no se especificaron metadatos,
• un ID propuesto: un ID de instancia con el formato .:, y
• otros argumentos generados por framework.

En respuesta, el servidor devuelve un identificador global único asignado al cliente, completando así el handshake DMTP. En este caso, el servidor C&C acepta y reutiliza el identificador solicitado por el cliente DarkVigil. En este punto, la conexión queda establecida y se activa HandshakePlugin para iniciar el handshake a nivel de aplicación. En el siguiente mensaje de red, DarkVigil invoca ClientInfo , el método RPC del lado servidor que recibe la información de la víctima.

Conclusión

En esta publicación describimos un método de vigilancia utilizado para atacar a personas de habla china que residen fuera de China. Al abusar de una comunicación de red insegura presente en el ampliamente utilizado editor de métodos de entrada chino Sogou Input Method, SlippyNunchucks logró desplegar un implante en víctimas distribuidas por Asia y Europa. El actor de amenazas intercepta la resolución DNS en los entornos de las víctimas mediante un método aún no identificado, con el objetivo de dirigir parte del tráfico HTTP generado por Sogou Input Method hacia un servidor bajo su control. Cuando la aplicación solicita la configuración necesaria para descargar los iconos asociados a los diccionarios de celdas promocionados, dicho servidor responde con una configuración maliciosa que ordena la descarga de cargas útiles en ubicaciones específicas.Esto permite abusar de los flujos de trabajo existentes de administración de componentes de Sogou Input Method, lo que finalmente deriva en la ejecución del implante DarkVigil.

Para cualquier consulta sobre nuestra investigación publicada en WeLiveSecurity, ponte en contacto con nosotros en threatintel@eset.com.

ESET Research ofrece informes privados de inteligencia sobre APT y fuentes de datos. Para cualquier consulta sobre este servicio, visite la página de ESET Threat Intelligence.

IoC

En nuestro repositorio de GitHub se puede encontrar una lista completa de indicadores de compromiso (IoC) y muestras.

Archivos

Red

Técnicas de MITRE ATT&CK

Esta tabla se ha elaborado utilizando la versión 20 frame MITRE ATT&CK.

¡Para todos nuestros lectores!

Aprovechen esta oportunidad de obtener un trial gratuito de 30 días para Google Workspace, la mejor solución para tu empresa. Disfruta de todas sus funcionalidades, como correo electrónico personalizado, almacenamiento en la nube y herramientas de colaboración.

Comienza tu prueba gratuita