تم ربط جهة تهديد متحالفة مع الصين، SlippyNunchucks، بعملية اختطاف DNS تستغل ثغرات في إصدارات Windows من Sogou Input Method. هذه العملية جزء من حملة مراقبة أوسع تنشر زراعة تعرف باسم DarkVigil، والمعروفة أيضًا باسم FDMTP.
بدأت الحملة في 1 يوليو 2026، مستهدفة المنظمات والأفراد الناطقين باللغة الصينية في هونغ كونغ وتايلاند واليابان وفيتنام وعمان وسريلانكا. كانت SlippyNunchucks نشطة منذ سبتمبر 2023 على الأقل، حيث تتبع ESET المجموعة وأدواتها منذ 2025.
يستغل الهجوم آلية ترويج المفردات المميزة لـ Sogou Input Method لتقديم تكوين ضار. يوجه هذا التكوين الملف الثنائي لتنزيل حمولات إضافية وتنفيذ برمجيات خبيثة من خلال تحميل DLL الجانبي.
عالجت Tencent الثغرة، التي تم تحديدها كـ CVE-2026-120422، في الإصدار 16.10 من Sogou Input Method، الذي صدر في 29 أكتوبر 2026. استهداف الحملة لمنظمة قمار في سريلانكا وهونغ كونغ والفلبين يُعتبر ملحوظًا بسبب قيود القمار في الصين.
يتميز DarkVigil باستخدامه لبروتوكول نقل الرسائل المزدوجة (DMTP) للاتصالات بين القيادة والتحكم. يبرز الاستغلال المؤكد التهديد المستمر الذي تشكله SlippyNunchucks في المنطقة.