信頼された入力アプリが監視ツールに変わるまで：Sogou IMEを悪用したSlippyNunchucksの標的型攻撃｜ブログ(ほぼこもセキュリティニュース)

ESET Researchは、中国の国家利益・治安方針に沿って活動するとみられる持続的標的型攻撃（APT）グループ「SlippyNunchucks」が、広く普及している中国語入力システム「Sogou Input Method（搜狗輸入法）」の非暗号化（HTTP）通信を悪用し、マルウェア「DarkVigil」を配信・感染させていた実態を公開しました。
本キャンペーンは2026年7月以降に確認され、日本、香港、タイ、ベトナム、スリランカ、オマーンなどに所在する中国語話者や、海外で活動する中国系オンライン賭博組織などを主な標的としています。
一見すると「中国を背景に持つグループが中国語話者を狙う」という逆説的な構図ですが、その実態は「東南アジア等に拠点を置く違法賭博・特殊詐欺組織の摘発支援」や「国外の自国系コミュニティ・関係者に対する監視活動」という中国政府の法執行・治安維持の意図に直結したサイバー工作と評価されています。
手口としては、Sogouの正規コンポーネントがプロモーション設定を取得する際の平文HTTP通信とDNSハイジャックを併用し、正規アプリの内部機構を逆手に取ってマルウェアを実行させていました。
開発元のTencent（騰訊）は報告を受け、通信をHTTPS化した修正版（バージョン16.10）を2026年10月下旬にリリースしており、本脆弱性には CVE-2026-120422 が割り当てられています。
特徴的な部分をみてみましょう。

「海外の自国民・自国語話者」を狙う特異なターゲティング戦略
- 詳細と背景:
  通常の国家背景APTグループは、他国の政府機関、防衛産業、重要インフラを標的とした「対外スパイ・破壊工作」が主流です。
  しかし本脅威は、香港、東南アジア、日本、欧州などに拠点を置く中国語話者、特にスリランカやフィリピン等で展開されるオンライン賭博プラットフォームを執拗に監視していました。
- 背景にある意図:
  中国国内では現在、東南アジアを拠点とする特殊詐欺（いわゆる闇バイト・通信詐欺）や違法カジノによる巨額の資金流出、国民の監禁被害が深刻な社会問題となっています。
  本グループの活動は、中国の法執行機関（公安等）による「国外逃亡犯罪者や違法ビジネスの摘発・資金追跡、および国外関係者の監視活動をサイバーインテリジェンス面から支援する」という国家の治安・統制方針と合致しています。
- 手口との親和性:
  使用された攻撃経路が中国語入力アプリ（Sogou IME）であるため、攻撃対象が自然と「海外在住の中国語話者や中国系組織」に絞り込まれる構造になっていました。
DNSハイジャックと非暗号化（平文）HTTP通信の組み合わせ
- メカニズム:
  Sogou Input Methodのコンポーネント SGTool.exe は、ブランド単語プロモーション（「創業ブランド支援計画」）用のアイコン設定を取得するため、正規ドメイン config.pinyin.sogou[.]com に対して暗号化されていない HTTP でリクエストを送信していました。
  攻撃者は標的環境のDNS解決を制御し（侵入経路はルータの侵害やISPレベルでの傍受などが疑われています）、通信先を自前のサーバへと誘導しました。
- 類似脅威との比較:
  一般的にクライアント侵害では、ブラウザやOSの未知の脆弱性を突く「ゼロデイエクスプロイト」や、開発元インフラのビルドシステムを汚染する「典型的なサプライチェーン攻撃」が多用されます。
  本攻撃はそうした高度な脆弱性開発を行わず、「正規アプリ内に残存していたレガシーな平文HTTP通信」という隙を突き、極めて低コストかつ検知されにくい形で侵入を成立させています。
暗号化仕様の模倣と正規の機能設定配信機構への寄生
- メカニズム:
  Sogouの設定ファイルは、AES-256-CBCで暗号化され、バイナリ内の固定鍵で復号される仕様でした。
  攻撃者はこの仕様を完全に解析した上で、自前サーバから「正当に復号できる偽の設定ファイル」を配信しました。
  設定内の保存先パス（icon フィールド）とハッシュ値（md5 フィールド）を書き換えることで、本来はアプリアイコン（.png 等）を保存する正規ルーチンを悪用し、悪意ある実行ファイルをシステム内の特定フォルダーへ書き込ませました。
- 類似脅威との比較:
  一般的な中間者（MitM）改ざんは、ハッシュや署名の不一致で弾かれます。
  これを破るために攻撃者が正規のコード署名鍵を窃取・不正利用する手口もありますが、本事例では「アプリ自身の暗号化ロジックとMD5チェックの甘さ」を逆手に取ることで、署名鍵の窃盗なしに改ざん検知を回避しています。
正規バイナリによるDLLサイドローディングと独自プロトコル（DMTP）
- メカニズム:
  配置されたペイロードは、正規の署名済みファイル（Adobe Licensing WF Helperを改称した biz_helper.exe）と、悪意あるDLL「libcef.dll」（DarkVigilインプラント）でした。
  Sogouの正規コンポーネント管理ツール（SogouComMgr.exe）がこれらを読み込むことで、DLLサイドローディング経由でDarkVigilが実行されました。
  さらに、DarkVigilはC2通信に標準的なHTTPS等ではなく、オープンソースの「TouchSocket」フレームワークに基づく独自プロトコル DMTP（Duplex Message Transport Protocol）を採用していました。
- 類似脅威との比較:
  多くのAPTは常駐化の際にレジストリのRunキー追加やタスクスケジューラ登録を行うため、EDRに検知されやすくなります。
  本手法は「すでに端末で信頼されているSogouの内部呼び出し構造」に寄生するため、プロセスの不審な挙動として捉えにくく作られています。
  また、通信プロトコルにDMTPを用いることで、Webトラフィック中心の一般的な監視ルールの網をかいくぐる設計になっています。

本インシデントは、「サードパーティ製アプリに残された非暗号化通信（HTTP）とDNSハイジャックを組み合わせることで、ゼロデイ脆弱性を使わずとも信頼された正規アプリ経由でマルウェアを送り込める」というサプライチェーン周辺の深刻な構造的弱点を示しています。
また、サイバー安全保障における「国家利益」とは、敵対国への軍事スパイにとどまらず、「国外にいる自国民・自国語コミュニティの監視や、越境犯罪（違法賭博・詐欺グループ等）の取り締まり支援」といった法執行・治安維持の領域にも強く及んでいることを裏付ける実例となりました。
対策としては、該当アプリの速やかな更新、平文通信（HTTP）の棚卸しと遮断、DNSトラフィックの整合性監視、入力ツール（IME）を含むデスクトップツールの利用統制、といったことを進める必要性が考えられます。

サイバー脅威が国境を越え、他国だけでなく域外に暮らす自国民や中国語コミュニティにまでその矛先が向けられているという事実は、現代の監視社会の歪さを浮き彫りにしており、非常にいたたまれない思いが残ります。

SlippyNunchucks hijacks Sogou Input Method’s brand promotion mechanism to distribute malware
https://www.welivesecurity.com/en/eset-research/slippynunchucks-hijacks-sogou-input-methods-brand-promotion-mechanism-to-distribute-malware/