ESET ha estado monitoreando el conjunto de herramientas de malware conocido como DarkVigil, operado por el grupo de amenazas SlippyNunchucks, desde 2025. A través de diversas campañas, se ha observado un patrón constante: los implantes de DarkVigil se instalan típicamente a través de aplicaciones populares chinas. Al abusar de estas aplicaciones, SlippyNunchucks ha logrado acceder a usuarios de habla china en Asia y Europa. Sin embargo, hasta ahora, los métodos específicos utilizados para ejecutar estos ataques habían permanecido en gran parte ocultos.
Se ha identificado públicamente un vector de ataque: la compromisión de la cadena de suministro de QuickFox, que fue objeto de análisis en un artículo de Fortinet y en un informe de inteligencia de amenazas de ESET. Tras finalizar esta brecha, SlippyNunchucks comenzó a abusar del Sogou Input Method para desplegar DarkVigil.
El 1 de julio de 2026, solo tres días después de que QuickFox publicara una versión limpia, se continuaron observando implantes de DarkVigil siendo lanzados, esta vez por el componente SGTool.exe del Sogou Input Method. Una investigación más detallada reveló que una solicitud perteneciente al mecanismo de promoción de vocabulario de la aplicación había sido desviada para servir una configuración maliciosa. Esta configuración instruye al binario para colocar cargas útiles en ubicaciones específicas que facilitan su ejecución a través de los flujos de trabajo existentes del Sogou Input Method.
Después de descubrir esta operación, ESET se comunicó con el Centro de Respuesta a la Seguridad de Tencent para informar sobre el abuso y compartir sus hallazgos, lo que llevó a Tencent a lanzar rápidamente una actualización para abordar el problema.
Desde 2025, la investigación de ESET ha revelado que SlippyNunchucks está alineado con intereses de vigilancia estatal en China, dirigiéndose principalmente a organizaciones y individuos de habla china en Asia y ocasionalmente en Europa. Entre los afectados se incluyen organizaciones operativas en plataformas de apuestas en línea, lo que es relevante dadas las estrictas regulaciones chinas sobre el juego.
Un aspecto interesante de DarkVigil es su uso del Protocolo de Transporte de Mensajes Dúplex (DMTP) para las comunicaciones de comando y control. Este protocolo es versátil, funcionando sobre diversas infraestructuras de red, y permite tanto la comunicación cliente-servidor como cliente-cliente, lo que resulta útil para orquestar plugins y realizar operaciones de espionaje cibernético.
ESET ha detallado el funcionamiento de DarkVigil y su red en una serie de publicaciones, destacando su capacidad para inyectar configuraciones maliciosas en comunicaciones de red legítimas y su habilidad para establecer persistencia a través de métodos que no requieren mecanismos de persistencia separados. A través de este enfoque astuto, SlippyNunchucks ha logrado distribuir malware de manera efectiva, destacando la importancia de la seguridad en aplicaciones populares y la vigilancia continua de los vectores de ataque emergentes.
Fuente: WeLiveSecurity by eSet.
