De diccionario a espía: hackers convierten un teclado común en un dispositivo para espiar a los usuarios

Un teclado habitual para introducir caracteres se convirtió en un canal de distribución de software espía. El grupo SlippyNunchucks manipuló las respuestas de red del Sogou Input Method para Windows y obligó a la aplicación a ejecutar la puerta trasera DarkVigil. ESET registró infecciones reales desde el 1 de julio de 2026. El desarrollador de Sogou, la empresa Tencent, ya publicó una corrección.

Los atacantes modificaron la respuesta DNS para el dominio oficial config.pinyin.sogou.com, redirigiendo las solicitudes a su propio servidor. El componente SGTool.exe obtenía la configuración por HTTP sin cifrar, por lo que un servidor falso podía devolver ajustes maliciosos. Los especialistas de ESET detallaron el mecanismo del ataque, pero aún no han determinado en qué punto de la red interceptaron las consultas DNS.

La solicitud falsificada se relacionaba con la promoción de marcas en los diccionarios integrados de Sogou. El programa descargaba configuraciones de pequeños iconos junto a las sugerencias de entrada de texto. En lugar de una imagen, el servidor devolvía comandos para descargar archivos ajenos. La configuración estaba cifrada, pero la clave se encontraba dentro del propio programa y no impedía a los atacantes falsificar la respuesta.

La configuración maliciosa hacía que Sogou descargara un programa firmado por Adobe y la biblioteca libcef.dll asociada a DarkVigil. Los archivos se colocaban en directorios del sistema, tras lo cual el programa legítimo cargaba la DLL suplantada y ejecutaba el código espía. Los atacantes falsificaban las sumas de comprobación MD5 necesarias para pasar la verificación de los archivos descargados.

ESET detectó infecciones en Hong Kong, Tailandia, Japón, Vietnam, Omán y Sri Lanka. Entre los objetivos hubo empresas y particulares. Se registró vigilancia especialmente intensa contra un operador de apuestas en línea que operaba en varios países de Asia. El número de afectados no se revela y el punto de intervención en el servicio DNS sigue siendo desconocido.

DarkVigil es una herramienta espía basada en .NET con más de 20 módulos conocidos. Para la comunicación con el servidor de control se usa el protocolo DMTP. Anteriormente, SlippyNunchucks distribuía el malware a través de un canal de actualizaciones comprometido de QuickFox. Tres días después del lanzamiento de la versión limpia de QuickFox, ya se detectaban infecciones a través de Sogou. En septiembre, Sogou fue atacada mediante enlaces preparados.

La vulnerabilidad recibió el identificador CVE-2026-120422 y una puntuación de 8,9 en CVSS 4.0, lo que corresponde a un nivel alto de peligro. ESET notificó a Tencent el 11 de septiembre. El desarrollador publicó Sogou Input Method 16.10 el 30 de octubre, reemplazando las solicitudes HTTP vulnerables por conexiones HTTPS con comprobación adicional del certificado. En el registro de cambios, Tencent confirmó la corrección de los problemas de seguridad.

La actualización cierra el canal descrito de suplantación de configuraciones, pero SGTool.exe sigue teniendo deficiencias. ESET recomienda comprobar los tipos de archivos que se descargan y restringir los directorios con permiso de escritura. Sin tales restricciones, la aplicación puede guardar código ejecutable en lugar de los iconos del diccionario. En el ataque analizado, los atacantes utilizaron funciones internas de Sogou, en lugar de comprometer los servidores de Tencent.