ESET 4 ноября раскрыла, как загрузку значков в Sogou Input Method — программе для ввода китайского текста в Windows — превратили в канал установки шпионского ПО DarkVigil. Исследователи наблюдали эту цепочку с 1 июля: программа получала подменённую конфигурацию для значков рядом с названиями брендов.

Атакующие перенаправляли запросы к серверу Sogou через подмену DNS — службы, сопоставляющей домены с адресами. Запрос шёл по незащищённому HTTP. Поддельный ответ указывал, какие файлы скачать, куда их записать и по каким контрольным суммам проверить. Вместо картинки программа получала подписанный компонент Adobe и вредоносную библиотеку: затем штатный механизм Sogou запускал компонент, а тот загружал библиотеку.

В этой операции ESET наблюдала заражения у организаций и китайскоязычных пользователей в Гонконге, Таиланде, Японии, Вьетнаме, Омане и Шри-Ланке. Общее число пострадавших не раскрыто. Группу SlippyNunchucks исследователи с высокой уверенностью связывают с государственным наблюдением в интересах Китая; где именно атакующие подменяли DNS, установить не удалось.

По данным ESET, выпущенная в конце октября версия 16.10 перевела затронутые запросы на HTTPS с закреплением сертификата. При этом исследователи рекомендуют дополнительно ограничить типы скачиваемых файлов и места их записи. Исправление доставки не подтверждает очистку уже заражённых компьютеров.