Überblick: Was ESET herausfand
ESET-Analysten identifizierten eine gezelte Kampagne, bei der eine chinesischsprachige Eingabemethode (Sogou Input Method) über unsichere HTTP-Anfragen zur Verteilung von DarkVigil-Implantaten missbraucht wurde. Die Operation verwendet DNS-Hijacking, um legitime Update- oder Konfigurationsanfragen umzuleiten und so bösartige Konfigurationen an Windows-Systeme auszuliefern. Betroffen waren Organisationen und einzelne Nutzer in Hongkong, Thailand, Japan, Vietnam, Oman, Sri Lanka sowie vereinzelt in Europa.
Wie der Angriff technische ablief
Angriffsvektor: Die Windows‑Komponente SGTool.exe der Sogou‑Eingabemethode führte zu gefährlichen HTTP‑Anfragen aus. Ein Man‑in-the-Middle wurde installiert oder manipulierte DNS-Antworten, sodass eine bösartige Konfigurationsdatei geliefert wurde.
Malware-Lieferung: Die manipulierte Konfiguration wies SGTool.exe an, zusätzliche Binärdateien in vordefinierte Pfade zu schreiben und auszuführen. SGTool.exe fungiert als legitimer Task-Distributor und ermöglichte damit die dauerhafte Ausbringung des DarkVigil-Toolsets (auch FDMTP genannt).
Funktion der Web‑Administration: ESET fand ein Web‑Dashboard mit dem Logo „Vigil“, das als Steuerungsebene diente. Über dieses Panel verwaltete Betreiber Implantate, sammelten exfiltrierte Daten und verteilten zusätzliche Module.
Warum HTTPS statt HTTP das Problem löst
Unsichere HTTP-Requests erlaubten DNS-Umleitung. Durch die Umstellung betroffener Anfragen auf HTTPS in Sogou Version 16.10 wurde TLS-Schutz sowie Zertifikatvalidierung für diese Pfade erzwungen. Weitere Informationen zu DNS-Hijacks erhalten Sie, weil die Verbindung an das richtige Zertifikat und damit an den richtigen Server gebunden wird.
Indikatoren (Beispiele): unerwartete HTTP‑Anfragen von SGTool.exe; Dateien, die in Standardpfaden der Eingabemethode auftauchen; Verbindungen zu Infrastruktur, die Vigil-Marken oder bekannte DarkVigil-Artefakte enthalten.
Kokrete Schritte für Administratoren zur Sofortabwehr
1) Patchen: Installieren Sie Sogou Input Method 16.10 oder neuer sofort.
2) Netzwerk‑Monitoring: Überwachen Sie begonnene HTTP‑Anfragen von SGTool.exe oder ähnlichen Komponenten; Blockieren Sie ungewöhnliche externe Hosts.
3) DNS-Absicherung: Erzwingen Sie DNSSEC wo möglich, nutzen Sie sichere, vertrauenswürdige DNS-Resolver und überwachen Sie Änderungen in DNS-Antworten.
4) Integritätsprüfung: Prüfen Sie digitale Signaturen und Prüfsummen von Sogou‑Binärdateien; Vergleichen Sie Sie mit bekannten, sauberen Builds.
5) Endpoint‑Forensik: Suchen Sie nach neuen/ungewöhnlichen Binärdateien in Sogou‑Verzeichnissen, registrierten Autostart‑Einträgen und nach Prozessketten, die von SGTool.exe ausgelöst wurden.
Beispiele für Erkennungsregeln und Signaturen
Netzwerkregel (Beispielkonzept): Alarm bei externen HTTP‑GETs von Prozessen mit Pfad Program FilesSogou*SGTool.exe zu externen Domains, die nicht zum offiziellen Tencent‑CDN gehören.
Endpointregel: Verdächtige Schreibvorgänge in Sogou-Konfigurationspfaden folgen von Ausführungsversuchen ungewöhnlicher Binärdateien innerhalb von 5 Minuten auslösen.
Daten, Attribution und Grenzen der Analyse
Attribution: ESET führt die Operation SlippyNunchucks zu, die DarkVigil einsetzt; Telemetrie zeigt Aktivität seit mindestens 2023 und einen Schwerpunkt auf Süd- und Ostasien mit gelegentlichen europäischen Zielen.
Abgrenzung zu anderen Gruppen: Öffentliche Berichte hatten DarkVigil teils Mustang Panda geschrieben. ESET-Tele fand jedoch keine Überschneidung zwischen DarkVigil-Operationen und bekannten Mustang-Panda-Aktivitäten. SGTool.exe enthält daraufhin eine manipulierte JSON‑Konfiguration, die ein zweites Modul aus einem externen Host platzierte und ausführte. Die Organisation stellte nach Patch-Installation und Entfernung der unerwünschten Binärdateien keine weiteren Anomalien fest.
Wie Anwender sich schützen sollten
Verhaltensempfehlungen: Halten Sie Eingabemethoden aktuell, prüfen Sie Permissions von Drittanbieter-Tastaturen, verwenden Sie Virenscanner mit aktueller Signatur-Abdeckung und aktivieren Sie Betriebssystem-Updates.
Für technisch weniger versierte Nutzer: Deinstallieren oder deaktivieren Sie Sogou, bis die gepatchte Version installiert ist; Nutzen Sie temporär alternative, geprüfte Eingabemethoden.
Wichtige Erkenntnisse für Sicherheitsteams
– Verwenden Sie legitime Komponenten als Dropper ist eine effektive, aber erkennbar wiederkehrende APT-Tactique. Sicherheitsteams sollten Software-Supply-Chains und lokal ausführbare Updater besonders überwachen.
– DNS-Absicherung und TLS-Durchsetzung reduzieren Angriffsmöglichkeiten erheblich.
– Telemetrie-Korrelationen helfen, falsche Attributionen ohne Einwilligung; Gleiche Malwarefamilie bedeutet nicht automatisch Betreiber.
Beliebte chinesische Tastatur-App entpuppt sich als Spyware: Sicherheitslücke ermöglicht gleiche Datendiebstahl und Überwachung von Nutzern.
İlk yorum yapan olun