SlippyNunchucks, a threat group ESET assesses as aligned with Chinese interests, abused unencrypted HTTP traffic in Sogou Input Method to distribute the DarkVigil espionage toolkit. The campaign is notable because victims appeared in several countries, including Vietnam, and the malware ran through legitimate workflows of a widely used input application.
Who is SlippyNunchucks?
ESET tracks the actor as SlippyNunchucks and says it has been active since at least September 2023. Its main activity is deploying DarkVigil, also called FDMTP in some reporting: a modular .NET toolkit consisting of a core implant and more than 20 plugins for surveillance, control, and data collection.
According to ESET telemetry, the group focuses on organizations and Chinese-speaking users in South and East Asia, with occasional activity in Europe. Observed targets include a company operating Chinese-language betting platforms, an internet café, and individuals. ESET assesses with high confidence that the activity supports a state-aligned surveillance effort, but stresses that it has found no technical evidence equating SlippyNunchucks with Mustang Panda.
From QuickFox to Sogou Input Method
Since 2025, DarkVigil has often reached victims through popular Chinese applications. One previously disclosed route was the QuickFox supply-chain compromise. After QuickFox released a clean version in late June 2026, ESET continued to see DarkVigil implants being activated.
On July 1, 2026, the legitimate Sogou Input Method component SGTool.exe began launching the implant on victim systems. Investigators found that the attackers did not need to modify the Sogou installer: they hijacked DNS resolution for a configuration server and abused an HTTP request in the branded-dictionary promotion feature to return a malicious configuration.
How does CVE-2026-120422 work?
SGTool.exe gửi yêu cầu tới máy chủ config.pinyin.sogou[.]com để lấy cấu hình biểu tượng cho các từ điển thương hiệu. Dù tên miền chính thức hỗ trợ HTTPS, một số endpoint của ứng dụng lại được gọi bằng HTTP thuần. Vì kết nối không có TLS, bên kiểm soát đường đi DNS hoặc lưu lượng mạng có thể chuyển yêu cầu sang máy chủ dàn dựng và cung cấp cấu hình giả.
Trong môi trường bị ảnh hưởng, tên miền chính thức được phân giải về hai địa chỉ do kẻ tấn công kiểm soát. Cấu hình độc hại yêu cầu tải một tệp Adobe hợp lệ đã được đổi tên và thư viện libcef.dll chứa implant DarkVigil. Các trường kiểm tra toàn vẹn cũng bị thay đổi để khớp với payload của kẻ tấn công.
DLL side-loading turns a legitimate workflow into persistence
Payload được đặt vào các thư mục mà Sogou Input Method vốn sử dụng để quản lý thành phần. Tệp Adobe có chữ ký số hợp lệ được đổi tên thành SogouComMgr.exe hoặc đặt trong thư mục BizCenter; khi chạy, nó nạp kèm thư viện libcef.dll độc hại bằng kỹ thuật DLL side-loading.
This method allowed DarkVigil to run repeatedly through existing component-update and invocation workflows rather than creating a conspicuous new startup mechanism. Replacing the component manager can nevertheless break the software and leave forensic clues. DarkVigil then uses Duplex Message Transport Protocol, a flexible protocol supporting reverse RPC and multiple channels, to communicate with command-and-control infrastructure.
Victim scope and the unresolved question
ESET observed activity in Hong Kong, Thailand, Japan, Vietnam, Oman, and Sri Lanka. The broad distribution initially resembled mass software exploitation, but evidence ultimately pointed to DNS hijacking combined with unencrypted HTTP.
The DNS manipulation point remains unknown. Possibilities include routers with altered DNS settings, network-device malware intercepting queries, or interception at the internet service provider level. With no conclusive evidence, organizations should not attribute every infection to an ISP; they should examine endpoints, routers, DNS resolvers, and network logs together.
Tencent patched the flaw: what should users do?
ESET báo cáo vấn đề cho Tencent ngày 11/9/2026; Tencent xác nhận ngày 21/9 và khắc phục trong Sogou Input Method 16.10 vào cuối tháng 10. Bản cập nhật chuyển các yêu cầu liên quan sang HTTPS và bật certificate pinning. Ngày 2/11, điểm yếu được gán mã CVE-2026-120422; báo cáo kỹ thuật đầy đủ được công bố ngày 4/11.
- Update Sogou Input Method for Windows to version 16.10 or later, and remove old copies from systems that no longer need it.
- Kiểm tra sự thay đổi bất thường của
SogouComMgr.exe, thư việnlibcef.dllvà các thư mục thành phần BizCenter. - Review DNS queries and connections to suspicious infrastructure; prioritize authenticated DNS and monitor router configuration changes.
- Use application control, EDR, and behavioral detection for DLL side-loading instead of relying only on executable signatures.
Lessons from one small HTTP request
The campaign shows how an apparently minor feature can become a malware delivery link when transport protection is missing. HTTPS and certificate validation are not only for logins or sensitive data: any configuration that controls where files are downloaded and executed must be protected like a software update channel.
For organizations with multilingual users, regional input methods and utilities should be inventoried, version-managed, and monitored like any other executable software. Effective defense must combine endpoint patching with DNS and network-device protection, because updating the application alone cannot identify which infrastructure was abused to redirect victims.
VNCyberS compiled from ESET Research
Tiếng Việt
English