|
|
|
|
|
|
|
|
|
| 中国相关骇客利用搜狗输入法攻击海外 |
|
【人民报消息】（人民报记者丽君编译报导）据雅虎财经11月4日刊登的欧洲资安公司ESET新闻稿，ESET研究员Anh Ho揭露，一个被认定与中共政府利益一致的骇客组织SlippyNunchucks，利用腾讯旗下搜狗输入法的安全漏洞，透过网域名称系统（DNS）劫持散播恶意软件，对海外用户及机构展开网路间谍活动。受害目标遍及香港、日本、泰国、越南、阿曼及斯里兰卡等地。ESET高度确信，该组织与符合中共政府利益的国家级监控行动有关，引发外界对海外华语使用者遭跨境监控的安全疑虑。
中国相关骇客藉合法软件植入后门
ESET将涉案骇客组织命名为SlippyNunchucks，并高度确信其活动与符合中共政府利益的国家级监控行动有关。该组织至少自2023年9月起活跃，主要利用名为DarkVigil的恶意软件，对亚洲及欧洲的特定机构与华语使用者展开网路间谍活动。
ESET指出，研究人员于2026年7月1日发现，DarkVigil恶意程式竟透过搜狗输入法的合法元件SGTool.exe启动。进一步调查发现，骇客利用该软件未加密的HTTP通讯机制，透过网域名称系统（DNS）劫持，将原本发往搜狗官方伺服器的设定请求，转送至攻击者控制的伺服器。
遭利用的是搜狗输入法的“品牌词库推广”功能，原本用于下载品牌词库图示及相关设定。ESET发现，SGTool.exe有20个连线端点使用未加密的HTTP通讯，即使官方伺服器支援较安全的HTTPS协定，相关功能仍缺乏必要的传输保护，使骇客有机会窜改设定资料。
骇客借由操纵DNS解析结果，使受害电脑连上攻击者控制的伺服器，取得伪造的设定档，再诱使搜狗输入法下载具有合法数位签章的Adobe程式，以及藏有DarkVigil间谍软件的恶意动态连结程式库（DLL）。骇客还在设定档中填入与恶意档案相符的MD5校验值，使其通过软件既有的完整性检查。
随后，骇客利用合法Adobe程式载入恶意DLL，并借助搜狗输入法原有的元件管理机制执行DarkVigil。这种称为“DLL侧载”的攻击手法，使恶意程式得以隐藏在正常软件的执行流程中。使用者即使没有主动下载可疑档案或点击恶意连结，也可能在不知情的情况下遭到入侵。
搜狗输入法是中国广泛使用的中文输入工具，2006年由搜狗公司推出，随著腾讯于2021年完成收购搜狗，现已成为腾讯旗下产品。此次事件显示，普及率高的合法软件一旦存在安全漏洞，就可能成为骇客渗透海外用户电脑的管道。
ESET进一步指出，SlippyNunchucks并非首次利用合法软件部署DarkVigil。研究人员发现，该组织自2025年以来，还曾利用QuickFox、QingTalk、MiYunChat等应用程式发动攻击。其中，QuickFox曾遭供应链入侵，显示骇客持续利用不同软件的安全弱点或遭入侵的软件供应管道，对特定目标展开渗透。
这起事件凸显，中国相关骇客不仅利用传统网路漏洞，也能借助广泛使用的合法软件，建立隐蔽的间谍活动管道。对依赖中国开发软件的海外华语使用者而言，相关产品的安全防护、通讯机制及遭跨境监控的潜在风险，值得持续关注。
攻击遍及多国 涉跨境情报搜集
根据ESET掌握的资安监测资料，SlippyNunchucks主要锁定南亚及东亚的机构与华语使用者。此次利用搜狗输入法漏洞发动的攻击，已波及香港、泰国、日本、越南、阿曼及斯里兰卡等地，显示其网路间谍活动具有跨国渗透特征。
该组织的整体攻击范围更广。ESET发现，德国、俄罗斯、英国及奥地利的个人用户也曾遭到攻击。值得注意的受害目标包括一家在斯里兰卡、菲律宾及香港经营中文线上博彩平台的跨国机构、杜拜一家网咖，以及丹麦一名大学生，显示其监控对象不仅限于企业或政府机构，也涵盖一般民间用户。
其中，跨国博彩机构尤其受到研究人员关注。ESET发现，该机构曾遭到显著的网路监控活动。由于跨境博彩业务长期受到中共当局关注，这起事件也引发疑问：中国相关骇客是否借由秘密渗透境外企业，搜集特定组织及人员的敏感资讯，甚至将监控范围延伸至海外华语社群？
ESET指出，骇客使用的DarkVigil是一套模组化恶意软件系统，具有超过20种已知外挂模组，并透过专门的通讯协定与远端控制伺服器交换资料及指令。这种架构使攻击者能依不同目标部署监控功能，并在入侵后持续控制受害系统及搜集资讯。
研究人员还发现，DarkVigil是建立在名为“Vigil”的恶意软件框架之上，并找到一个显示“Vigil”标志的网页管理后台，用于管理从受害系统窃取的资料。结合其模组化监控工具、跨国受害目标及持续活动纪录，ESET认为，SlippyNunchucks的行动符合具有国家背景的长期网路间谍活动特征，而非单纯散播恶意程式的零星攻击。
疑配合北京利益 海外华人面临监控风险
这起事件最受关注之处，在于中共相关骇客的跨境监控行动，是否与北京的情报搜集需求及国家利益有关。ESET根据受害目标、攻击手法及长期活动模式研判，SlippyNunchucks并非一般网路犯罪组织，而是与中共政府利益一致、疑具国家背景的骇客组织。
ESET于10月28日发布的另一份进阶持续性威胁（APT）活动报告指出，中国相关骇客组织曾在东南亚及大洋洲展开情报搜集行动。其中，SlippyNunchucks曾在斯里兰卡针对涉嫌参与诈骗活动的华语人士部署DarkVigil，显示其监控目标已延伸至中国境外的特定个人。这类隐蔽的跨境网路渗透行动，也引发对境外个人资讯安全、隐私保护及未经授权监控的疑虑。
这些发现使外界更加关注，中共相关骇客是否借由合法民用软件，将情报搜集与秘密监控延伸至境外企业及华语社群。尽管现有公开研究尚未确认SlippyNunchucks与中共当局之间的具体指挥关系，ESET揭露的持续性攻击、跨国受害目标及监控工具，已为追查中共相关网路间谍活动提供重要线索。
腾讯修补漏洞 仍存其他安全隐忧
ESET于2026年9月11日向腾讯通报搜狗输入法的安全漏洞，腾讯9月21日确认问题，并于10月30日推出16.10版本加以修补。该漏洞编号为CVE-2026-120422，涉及软件通讯机制遭骇客利用，进而植入恶意程式的风险。
新版将受影响的HTTP连线改为加密HTTPS，并加入凭证绑定验证，防止攻击者借由伪造伺服器身分传送恶意设定档，降低DNS劫持攻击得逞的可能性。
不过，ESET警告，修补通讯漏洞并不代表所有安全问题都已解决。研究人员发现，搜狗输入法仍缺乏充分的下载档案类型验证，以及严格的档案储存路径限制。这些缺陷可能使恶意执行档伪装成正常图片遭到下载，甚至覆写原有程式档案，为其他攻击手法留下可乘之机。
此外，骇客究竟如何操纵受害电脑的DNS解析，目前仍是未解之谜。ESET指出，可能途径包括路由器遭入侵、DNS设定遭恶意修改，或网际网路服务供应商（ISP）层级的流量拦截。由于实际劫持位置尚未查明，研究人员仍无法完整还原攻击者如何控制受害者的网路通讯。
值得注意的是，搜狗输入法并非首次出现在中国相关骇客的攻击研究中。ESET过去曾揭露其他骇客组织利用搜狗输入法的网路通讯弱点散播恶意程式。此次SlippyNunchucks事件再次凸显，广泛使用的中国软件若缺乏完善的安全防护，可能成为境外用户遭秘密渗透及情报搜集的管道。即使漏洞已获修补，相关产品的安全设计、资料保护及潜在跨境监控风险，仍有必要持续检视。
（人民报首发）△ |
| 文章网址: http://www.renminbao.com/rmb/articles/2026/11/6/97106.html |
|
 打印机版
|
|
|
|
|
|
|
|
|
|
|
