Bij een grootschalige campagne is DNS-hijacking via Sogou als aanvloerpunt gebruikt om een kwaadaardige backdoor te verspreiden. ESET koppelt deze activiteit aan de China-aligned dreigingsactor SlippyNunchucks en beschrijft hoe geïnfecteerde Windows-systemen uiteindelijk de implant DarkVigil (ook bekend als FDMTP) krijgen.
Volgens de rapportage begon de waarneming rond 1 juli 2026. De aanvallen waren gericht op organisaties en Chinese-sprekende gebruikers in onder meer Hongkong, Thailand, Japan, Vietnam, Oman en Sri Lanka. De kern zit niet in een klassieke phishingflow, maar in het manipuleren van hoe applicaties hun configuratie ophalen.
Hoe DNS-hijacking via Sogou werkt
Sogou Input Method gebruikt in een normale situatie HTTP om een configuratie op te halen. In een ‘schone’ omgeving benadert het relevante component het endpoint config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php om een configuratiebestand te ontvangen.
In de campagne die ESET beschrijft, wordt die gang van zaken verstoord: de DNS-resolutie van het domein wordt aangepast zodat HTTP-verzoeken niet naar de echte server gaan, maar naar een van twee stagingservers. Daarmee worden aanvragen omgeleid naar een plek die een kwaadaardige configuratie teruggeeft.
De omleiding naar stagingservers
- 47.239.250[.]102 (sogou-cdn[.]com)
- 47.237.122[.]175 (dev.soft-png-cdn.com)
Het effect is dat het Sogou-onderdeel dezelfde “bedoeling” lijkt te volgen (config ophalen), maar in werkelijkheid een configuratie ontvangt die de volgende stappen voorbereidt voor payload-levering.
DarkVigil installeren: configuratie en DLL-sideloadovergang
Zodra de malware de kwaadaardige configuratie binnen heeft, stuurt die configuratie de binaries aan om additionele payloads op te halen vanaf sogou-cdn[.]com. Daarna start de aanval verder via DLL sideloading.
ESET noemt daarbij twee componenten die samen worden ingezet:
- Een legitiem Adobe-executable met de naam biz_helper.exe
- Een kwaadaardige DLL libcef.dll die de DarkVigil-functionaliteit bevat
Dit patroon maakt de uitrol lastig te herkennen: een vertrouwd ogend programma wordt gebruikt als onderdeel van de keten om de schadelijke DLL te laden.
Command-and-control via DMTP
DarkVigil onderscheidt zich volgens ESET door zijn manier van communiceren. Voor command-and-control (C2) maakt het gebruik van Duplex Message Transport Protocol (DMTP). Daarmee kan de “client” commando’s ontvangen en plugins aansturen die op een aanvaller-server binnenkomen.
Die plugins kunnen vervolgens worden ingezet voor doelen zoals persistency of gegevensverzameling. Door het modulair karakter is de implant flexibel: dezelfde basis kan met extra onderdelen verschillende acties ondersteunen.
Waarom de focus op Sogou Input Method zo relevant is
ESET plaatst deze campagne binnen een bredere trend waarin populaire applicaties als leveringskanaal worden misbruikt. SlippyNunchucks zou bovendien al langer actief zijn: minimaal sinds 15 september 2023 richt de dreigingsactor zich op organisaties en Chinese-sprekende doelgroepen in Zuid- en Oost-Azië.
Interessant is dat eerdere koppelingen bestonden met Mustang Panda, maar ESET rapporteert dat er in de eigen telemetry geen tactische overlap werd gevonden met DarkVigil-gerelateerde activiteit. Daarom beoordeelt ESET dit als een distinct intrusion set.
Van QuickFox naar Sogou: verschuivende leveringsstrategie
Niet alleen Sogou is genoemd. In eerder berichtgeving beschreef Fortinet dat SlippyNunchucks een supply chain-achtige compromittatie gebruikte rond QuickFox, een VPN- en netwerkversnellingstool, om DarkVigil te leveren.
Daarna, volgens ESET, verschoof de aanpak: drie dagen nadat QuickFox een schone versie publiceerde, ging de dreigingsactor over op het benutten van Sogou Input Method als alternatief afleverpunt.
Concreet wordt het branded vocabulary promotion-mechanisme van de applicatie misbruikt om een kwaadaardige configuratie door te laten dringen. Van daaruit wordt de malware verder geleid via SGTool.exe, een legitiem Sogou-onderdeel dat als multi-purpose taakdispatcher functioneert.
Bescherming: wat u kunt doen
De details laten zien dat deze campagne draait om manipulatie van configuratie- en downloadstromen. Dat betekent dat verdediging niet stopt bij “een tool updaten”, maar ook kijkt naar hoe netwerkverkeer en domeinresolutie zich gedragen.
1) Houd Sogou en gerelateerde components up-to-date
Tencent heeft na verantwoord disclosure een oplossing doorgevoerd voor een onderliggende HTTP-kwetsbaarheid. In versie 16.10, uitgebracht op 29 oktober 2026, werden getroffen HTTP-verzoeken verplaatst naar HTTPS. Door updates te installeren verkleint u de kans dat applicaties nog via dezelfde onveilige route worden benaderd.
2) Let op verdachte DNS-afhandeling rondom configuratie-domeinen
Omdat de aanval in deze casus afhankelijk is van het omleiden van het domein naar stagingservers, loont het om te controleren of DNS-query’s overeenkomen met verwachte antwoorden. Afwijkingen kunnen wijzen op DNS-manipulatie, vooral wanneer het gaat om domeinen die normaal via bekende infrastructuur afhandelen.
3) Herken DLL-sideloading in uw detectiebeleid
De combinatie van een legitiem executable met een laaddoor middel van een verdachte DLL is een klassiek onderdeel van offensieve ketens. Pak daarom in uw monitoring mee op welke DLL’s geladen worden en of de herkomst (pad, hash, downloadbron) klopt met wat u in uw omgeving verwacht.
Als u dit soort “keten-denken” wilt aanscherpen, kan ook dit artikel helpen: Agent runtime security: waarom één laag niet genoeg is.
Vergelijkbare patronen: wat er eerder met Sogou gebeurde
Dit is volgens de bron niet de eerste keer dat dreigingsactoren de Sogou Input Method gebruiken als toegangspoort. Gen Digital meldde eerder (in september 2026) een gepatchte kwetsbaarheid in de input method editor, CVE-2026-51990. Die zou zijn uitgebuit met een one-click aanpak via een samengesteld exploitketen.
De takeaway: zelfs wanneer de aanvalsmethode verschilt, blijft het risico bestaan dat applicatiefuncties (protocollen, embedded webcomponenten en verouderde engines) samen een route vormen naar remote code execution of backdoor-deployments. Daarom is het belangrijk om niet alleen op “de huidige CVE” te focussen, maar op de bredere leveringslogica.
Conclusie
DNS-hijacking via Sogou laat zien hoe aanvallers een ogenschijnlijk normale applicatiestroom kunnen ombuigen. Door DNS-resolutie te manipuleren en vervolgens een kwaadaardige configuratie terug te laten komen, werd DarkVigil uitgerold via DLL-sideloadovergangen en DMTP-gebaseerde command-and-control.
Voor organisaties betekent dit: zorg dat relevante software actueel is (zoals Sogou-versies waarin de overgang naar HTTPS is doorgevoerd), bewaak DNS- en downloadstromen, en breid detectie uit naar DLL-ladende ketens en modulair C2-gedrag. Alleen zo houdt u grip op dit soort geavanceerde leveringscampagnes.
Gerelateerde lectuur
- LLMjacking: wat het kost en hoe je het herkent — voor inzicht in detectie van misbruik van communicatiestromen.
- Xen hypervisor kwetsbaarheden: VM’s breken isolatie — aanvullend op het thema “compromis van de onderlaag”.
Bron: https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.html
