Yaygın Kullanılan Çince Klavye Uygulaması Siber Saldırının Aracı Oldu!

Milyonlarca kullanıcının tercih ettiği Sogou klavye yazılımındaki güvenlik açığı, casus yazılım dağıtmak için kullanıldı. Saldırganlar bilgisayarlara DarkVigil adlı zararlı yazılımı yerleştirdi.

Dijital dünyada güvenlik tehditleri giderek farklı yöntemlerle karşımıza çıkıyor. Bu kez siber saldırganların hedefinde doğrudan bilgisayarlar değil, kullanıcıların günlük olarak kullandığı bir klavye uygulaması vardı.

Siber güvenlik şirketi ESET’in ortaya çıkardığı operasyonda, Tencent tarafından geliştirilen Sogou Input Method adlı Çince klavye yazılımının Windows sürümlerindeki güvenlik açığından yararlanıldığı belirlendi.

SlippyNunchucks adı verilen ve Çin bağlantılı olduğu değerlendirilen siber saldırı grubu, uygulamanın internet üzerinden gerçekleştirdiği bazı iletişimleri manipüle ederek hedef bilgisayarlara DarkVigil isimli zararlı yazılımı yerleştirdi.

Saldırı nasıl gerçekleştirildi?

ESET araştırmacılarının incelemesine göre saldırı, uygulamanın bazı internet isteklerinde güvenli olmayan HTTP bağlantılarını kullanmasından kaynaklandı.

Saldırganlar DNS yönlendirmesini ele geçirerek uygulamanın normalde ulaşması gereken sunucu yerine kendi kontrol ettikleri sunuculara bağlanmasını sağladı.

Bu yöntemle uygulamanın kelime ve marka tanıtım mekanizmasına ait bir yapılandırma dosyası değiştirildi. Böylece Sogou’nun kendi bileşen yönetim sistemi kullanılarak bilgisayarlara zararlı dosyalar indirildi ve çalıştırıldı.

Dikkat çekici olan nokta, kullanıcıların her zaman şüpheli bir bağlantıya tıklamasının veya ayrıca bir dosya açmasının gerekmemesiydi. Meşru uygulamanın mevcut çalışma mekanizması saldırının parçası haline getirildi.

DarkVigil casus yazılımı ne yapabiliyor?

Saldırıda kullanılan DarkVigil, bilgisayarlara yerleştirilen ve farklı görevleri yerine getirebilen modüler bir zararlı yazılım sistemi olarak tanımlanıyor.

ESET’in araştırmasına göre yazılımın 20’den fazla eklentisi bulunuyor.

Bu yapı saldırganların ele geçirilen bilgisayarlarda farklı işlemler gerçekleştirmesine ve elde edilen verileri uzaktan yönetmesine imkân tanıyor.

Araştırmacılar ayrıca çalınan verilerin yönetimi için kullanılan bir web yönetim paneli de tespit etti.

Hangi ülkeler hedef alındı?

ESET’in telemetri verilerinde saldırı faaliyetlerinin görüldüğü ülkeler arasında şunlar bulunuyor:

• Hong Kong
• Tayland
• Japonya
• Vietnam
• Umman
• Sri Lanka

Bunların yanında Asya ve Avrupa’nın farklı bölgelerinde de kullanıcıların saldırı faaliyetlerine maruz kaldığı bildirildi.

Grubun daha önce Almanya, Rusya, İngiltere ve Avusturya gibi Avrupa ülkelerinde de hedeflere yöneldiği belirtiliyor.

SlippyNunchucks grubunun en az 2023 yılından beri faaliyet gösterdiği değerlendiriliyor. ESET, grubun faaliyetlerini DarkVigil zararlı yazılım ekosistemiyle ilişkilendiriyor.

Tencent güvenlik açığını kapattı

ESET’in bulgularını Tencent Güvenlik Müdahale Merkezi’ne bildirmesinin ardından şirket gerekli güncellemeyi yayımladı.

CVE-2026-120422 numarasıyla kayıt altına alınan güvenlik açığı, Sogou Input Method’un 16.10 sürümünde giderildi.

Yeni sürümde güvenli olmayan HTTP bağlantıları HTTPS sistemine taşındı ve TLS sertifika doğrulaması uygulanmaya başlandı.

Bu nedenle Sogou Input Method kullanan Windows kullanıcılarının uygulamalarını en az 16.10 sürümüne güncellemeleri önem taşıyor.

Bu saldırı neden önemli?

Olay, siber güvenlik açısından önemli bir gerçeği yeniden ortaya çıkardı: Bilgisayarlara yüklenen her meşru yazılım, yeterli güvenlik önlemleri bulunmadığında saldırganlar için bir giriş kapısına dönüşebilir.

Üstelik tehdit yalnızca klavye uygulamalarıyla sınırlı değil. Güncelleme mekanizmaları, internet bağlantılı yardımcı araçlar, bulut hizmetleri ve arka planda çalışan yazılımlar da benzer riskler taşıyabiliyor.

Kullanıcıların güvenlik konusunda yalnızca antivirüs programlarına güvenmemesi, kullandıkları uygulamaları güncel tutması ve bilinmeyen kaynaklardan yazılım indirmemesi gerekiyor.

Bir klavye uygulaması üzerinden bilgisayara sızılabiliyorsa, dijital güvenlikte asıl mesele hangi programı kullandığımızdan çok, o programın arka planda hangi bağlantıları kurduğunu ne kadar denetleyebildiğimizdir.

Haber Veriyoruz’dan ilgili haberler

• Fransa’da kan bankalarına yönelik siber saldırı

• Siber saldırılarda milyarlarca dolarlık varlık donduruldu

• Sahte VPN uygulamalarıyla banka hesapları boşaltıldı

Kaynaklar:

1. ESET Research – SlippyNunchucks ve Sogou Input Method güvenlik araştırması.

2. WeLiveSecurity – Saldırının teknik analizi.

3. Tencent – Güvenlik açığına yönelik 16.10 sürüm güncellemesi.

Editör notu: Saldırının teknik ayrıntıları ESET araştırmasına dayanmaktadır. Çin bağlantılı ifadesi güvenlik araştırmacılarının tehdit grubu değerlendirmesidir; saldırının doğrudan Çin devleti tarafından yönetildiği kanıtlanmış değildir.