Le groupe SlippyNunchucks détourne le DNS de Sogou Input Method pour déployer l'implant DarkVigil sur Windows.

Un acteur malveillant aligné sur la Chine, baptisé SlippyNunchucks, mène une opération de détournement DNS. Elle exploite des communications non sécurisées dans les versions Windows de Sogou Input Method. Son but est de déployer un implant nommé DarkVigil, également connu sous le nom FDMTP, dans le cadre d’une campagne de surveillance.

Les premières activités ont été observées à partir du 1er juillet 2026. Cette campagne rappelle une réalité simple. Un logiciel du quotidien peut devenir une porte d’entrée discrète, dès lors que ses échanges réseau ne sont pas protégés.

Une campagne de détournement DNS visant Sogou Input Method

Le DNS sert à traduire un nom de domaine en adresse IP. Autrement dit, il indique à un appareil où se trouve un serveur. Si un attaquant altère cette réponse, la victime est redirigée vers une infrastructure qu’il contrôle, sans le moindre signe visible.

Dans cette opération, l’attaquant s’appuie sur une faiblesse précise. Certaines communications de Sogou Input Method sous Windows transitent en HTTP, c’est-à-dire sans chiffrement. Ce défaut permet de s’intercaler entre le logiciel et ses serveurs légitimes.

Par conséquent, une requête anodine peut recevoir une réponse falsifiée. Le poste de la victime a alors toutes les chances de l’accepter comme authentique. L’implant peut ensuite être livré sans que l’utilisateur ne remarque quoi que ce soit.

Cette méthode présente un avantage pour les attaquants. Elle ne demande ni message piégé ni action de la part de la victime. Elle repose uniquement sur un comportement automatique du logiciel.

DarkVigil, un implant de surveillance aussi appelé FDMTP

L’implant déployé s’appelle DarkVigil. Il est aussi référencé sous le nom FDMTP. Son usage s’inscrit, selon l’évaluation disponible, dans une logique d’espionnage plutôt que de gain financier immédiat.

Les outils de ce type servent généralement à maintenir un accès durable à une machine. Ils permettent notamment d’observer l’activité d’un poste et de collecter des informations. Toutefois, les éléments fournis à ce stade ne détaillent pas toutes les capacités de DarkVigil. Il convient donc de rester prudent sur ses fonctions exactes.

De même, la description de la campagne indique que des organisations ont été visées. Le périmètre complet des victimes n’est pas précisé dans les informations disponibles. Il est donc difficile, pour l’instant, d’évaluer l’ampleur réelle de l’opération.

Pourquoi le HTTP non chiffré reste un problème

Le HTTP simple ne garantit ni la confidentialité ni l’authenticité des échanges. En effet, n’importe quel intermédiaire capable de modifier le trafic peut altérer le contenu. Un détournement DNS donne justement cette capacité à l’attaquant.

Le HTTPS apporte une protection supplémentaire. Il authentifie le serveur grâce à un certificat. Ainsi, une redirection vers un faux serveur échoue, sauf si le client ignore ou valide mal cette vérification.

Cette affaire illustre un risque plus large pour la chaîne d’approvisionnement logicielle. Un éditeur peut avoir des millions d’utilisateurs. Pourtant, un seul canal de communication faible suffit à exposer l’ensemble de ses clients. Les logiciels de saisie sont particulièrement sensibles. Ils sont installés partout, s’exécutent en permanence et restent rarement surveillés.

Par ailleurs, les organisations sous-estiment souvent ces applications. Un outil d’entrée de texte paraît inoffensif. En revanche, il fonctionne au cœur du système et dialogue régulièrement avec Internet.

Comment protéger les postes utilisant Sogou Input Method

Les équipes de sécurité peuvent agir dès maintenant. D’abord, il faut identifier les machines Windows sur lesquelles le logiciel est installé. Ensuite, il faut évaluer si son usage est réellement nécessaire dans l’environnement professionnel.

Voici quelques mesures concrètes à envisager :

• Inventorier les postes équipés de Sogou Input Method et vérifier la version installée.
• Surveiller les requêtes DNS inhabituelles ou les résolutions incohérentes provenant de ces postes.
• Analyser le trafic HTTP sortant du logiciel et bloquer ce qui n’est pas indispensable.
• Rechercher des indicateurs liés à DarkVigil et à FDMTP dans les journaux et les outils EDR.
• Utiliser des résolveurs DNS de confiance, avec validation DNSSEC lorsque c’est possible.

Il est également recommandé de segmenter le réseau. Un poste compromis doit disposer d’un accès limité aux ressources sensibles. De plus, la journalisation DNS aide à reconstituer le déroulement d’une intrusion après coup.

Ce qu’il faut retenir

• SlippyNunchucks, acteur aligné sur la Chine, est associé à une campagne de détournement DNS.
• La cible est la version Windows de Sogou Input Method, via des communications HTTP non sécurisées.
• L’implant déployé s’appelle DarkVigil, aussi connu sous le nom FDMTP.
• L’activité a été observée à partir du 1er juillet 2026, dans un contexte de surveillance.
• Les organisations doivent auditer leurs postes, surveiller le DNS et limiter les logiciels non essentiels.

En définitive, cette campagne montre qu’un simple défaut de chiffrement peut suffire à compromettre un poste. Les entreprises gagneraient à examiner de près chaque application qui communique avec Internet, même la plus discrète.

Source : China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor