Grupa SlippyNunchucks, powiązana z Chinami, wykorzystuje popularną metodę językową Sogou Input Method do infekowania użytkowników złośliwym oprogramowaniem DarkVigil. Atak polega na manipulacji DNS, co pozwala na przechwycenie niezabezpieczonych zapytań HTTP wysyłanych przez komponent SGTool.exe.
Napastnicy przejmują mechanizm promocji słownictwa aplikacji, aby serwować złośliwe konfiguracje. Instrukcje te nakazują aplikacji umieszczenie payloadów w określonych lokalizacjach, co umożliwia ich uruchomienie w ramach istniejących procesów Sogou. Ofiarami są głównie osoby i organizacje posługujące się językiem chińskim w Azji oraz sporadycznie w Europie.
DarkVigil to modułowy zestaw narzędzi oparty na frameworku .NET, służący do szpiegostwa. Wykorzystuje on własny protokół komunikacyjny DMTP do łączności z serwerem C&C. Po zgłoszeniu problemu firma Tencent wydała aktualizację rozwiązującą lukę, która otrzymała oznaczenie CVE-2026-120422.
Analiza wskazuje, że SlippyNunchucks to odrębna grupa APT, niezależna od Mustang Panda. Ich działania mają charakter szpiegowski i mogą wspierać interesy państwowe Chin, celując m.in. w podmioty związane z branżą hazardową w Azji Południowo-Wschodniej.
