Der Angriff setzt am Mechanismus zur Bewerbung von Marken-Wortschätzen der Software an. Normalerweise fragt die legitime Komponente SGTool.exe – ein Mehrzweck-Dispatcher für Aufgaben – per HTTP den Endpunkt „config.pinyin.sogou[.]com/api/brandScd/getBrandScd.php" ab, um eine Konfiguration zu laden. In den von ESET entdeckten Fällen wurde die DNS-Auflösung der Domain manipuliert, sodass sie auf einen von zwei Staging-Servern zeigte:

  • 47.239.250[.]102 (sogou-cdn[.]com)
  • 47.237.122[.]175 (dev.soft-png-cdn.com)

Diese antworteten mit einer bösartigen Konfiguration, die das Programm anwies, zwei weitere Komponenten von „sogou-cdn[.]com" nachzuladen: eine legitime Adobe-Programmdatei („biz_helper.exe") und eine manipulierte DLL („libcef.dll") mit DarkVigil. Die Schadsoftware wird per DLL-Sideloading gestartet.

DarkVigil fällt durch die Nutzung des Duplex Message Transport Protocol (DMTP) für die Kommunikation mit den Steuerservern auf. Der Client kann damit Plugins ausführen und orchestrieren, die er von einem von den Angreifern kontrollierten Server erhält – etwa zur Verankerung im System oder zum Sammeln von Daten. Die Gruppe nutzt ein modulares .NET-Framework, zu dem DarkVigil und über 20 Plugins gehören.

Nach verantwortungsvoller Offenlegung behob Tencent die Schwachstelle CVE-2026-120422 in Version 16.10, veröffentlicht am 29. Oktober 2026, indem die betroffenen HTTP-Anfragen auf HTTPS umgestellt wurden.

SlippyNunchucks ist mindestens seit dem 15. September 2023 aktiv und greift Organisationen sowie chinesischsprachige Personen in Süd- und Ostasien an. Missbraucht wurden dabei unter anderem die Anwendungen Sogou Input Method, QuickFox, QingTalk, MiYunChat, SoftCam und tawk.to. „DarkVigil-Implantate werden typischerweise über populäre chinesische Anwendungen ausgeliefert", sagte ESET-Forscher Anh Ho. „Durch den Missbrauch dieser Anwendungen konnte der Bedrohungsakteur SlippyNunchucks chinesischsprachige Nutzer in Asien und Europa erreichen."

Zwar wurde die Backdoor früher mit Mustang Panda in Verbindung gebracht, doch ESET fand in der eigenen Telemetrie keine taktischen Überschneidungen zwischen dieser Gruppe und den DarkVigil-Aktivitäten und stuft sie daher als eigenständiges Intrusion-Set ein.

Im August hatte das Incident-Response-Team von Fortinets FortiGuard einen Lieferkettenangriff der Gruppe auf das VPN- und Netzwerkbeschleunigungswerkzeug QuickFox beschrieben, über das ebenfalls DarkVigil verteilt wurde. Laut ESET wechselten die Angreifer drei Tage, nachdem QuickFox eine saubere Version veröffentlicht hatte, auf Sogou Input Method als Auslieferungsweg – eine verbreitete chinesischsprachige Eingabemethode von Tencent.

ESET geht davon aus, dass SlippyNunchucks im Interesse der chinesischen Regierung handelt, und beschreibt die Aktivität als staatliche Überwachungsoperation. „Obwohl SlippyNunchucks Organisationen und Einzelpersonen in mehreren Sektoren ins Visier nimmt, entdeckten wir erhebliche Überwachungsaktivitäten gegen eine Organisation, die chinesischsprachige Online-Wettplattformen in Sri Lanka, Hongkong und auf den Philippinen betreibt", so ESET. Das sei bemerkenswert angesichts der chinesischen Glücksspielbeschränkungen, einschließlich strafrechtlicher Sanktionen für den Betrieb von Glücksspielgeschäften und die Organisation von Auslandsglücksspiel chinesischer Staatsbürger.

Es ist nicht der erste Fall, in dem China-nahe Akteure Sogou Input Method als Einfallstor für Schadsoftware nutzen. Im September 2026 berichtete Gen Digital, dass eine inzwischen behobene Schwachstelle in der Eingabemethode (CVE-2026-51990) von der Gruppe UNC3569 ausgenutzt wurde, um über einen präparierten Link eine Backdoor namens GRAYRABBIT einzuschleusen. „Die Schwachstelle verkettet drei separate Schwächen zu einem einzigen Ein-Klick-Exploit: nicht validierte Kommandozeilenargument-Injektion im benutzerdefinierten Protokoll-Handler sgbiz:, uneingeschränkte URL-Navigation in einer CEF-basierten WebView sowie eine stark veraltete, nicht in einer Sandbox laufende Chromium-Browser-Engine", die für CVE-2021-38003 anfällig ist, erklärte Gen Digital.