Sogou入力法の更新トラフィックをDNSハイジャックで乗っ取り、DarkVigilを密配布——“見えないサプライチェーン”が突いた設計の死角です

今日の深掘りポイント

• アジア広域（香港、タイ、日本、ベトナム、スリランカ、オマーン）で2026年7月以降に感染が観測されたサプライチェーン型配布で、渡航・現地拠点・在外法人に波及しやすい事案です。
• 更新経路がHTTPである設計の弱さをDNSハイジャックで突いた点が本質で、ベンダー環境を直接侵害しなくても“正規アップデートと同等の信頼”を偽装できることを示しました。
• ベンダー（Tencent）はv16.10で修正済みのため、資産インベントリからの横断アップデートが即応の最優先です。プロキシやEDRで「アプリ自身によるHTTP更新」を可視化・遮断できる体制が問われます。
• 脅威グループ（ESETの命名はSlippyNunchucks）はスパイ系で、DarkVigilは.NETモジュラー型（20+プラグイン）かつ多様なプロトコル（TCP/UDP/HTTP/WebSocket）を話すため、既存検知の回避余地が広いです。
• DNSコントロールプレーンの守り（強制社内リゾルバ、UDP/53の外向け封止、出先通信の常時VPNヘアピン）と、「サードパーティの自動更新要件（TLS/署名/ピンニング）」の購買基準化が中長期の鍵です。

はじめに

“キーボード入力”はOSのど真ん中に常駐するにもかかわらず、私たちはその更新経路の安全性を忘れがちです。今回のSogou入力法の事案は、攻撃者が製品そのものではなく「更新トラフィックの設計」を突き、DNSハイジャックでDarkVigilを潜り込ませた点に現代的な怖さがあります。攻撃面は地理的にもアジア広域にまたがり、日本企業の現地法人・出張端末・在外公館・留学生・駐在員家庭のSOHOルータまで、実装次第で直撃しやすい構図です。修正は出ている以上、初動は速さがすべてです。今日は設計上の盲点と、現場が明日から変えられる運用のコアを絞って見ていきます。

深掘り詳細

事実の整理（公開情報ベース）

• 攻撃者はESETがSlippyNunchucksとして追跡している中国系スパイグループで、2026年11月4日に調査結果が公開されています。被害は少なくとも2026年7月1日以降に発生しています。
• 配布経路はSogou入力法のアップデートトラフィックで、HTTP利用という設計要因を突き、DNSハイジャックで正規ドメイン解決を攻撃者支配に迂回させたと報告されています。被害者ネットワークで解決に使われたサーバIPも特定されています。
• 影響地域は香港、タイ、日本、ベトナム、スリランカ、オマーンとされ、企業・個人双方の利用環境に広がる可能性があります。
• ベンダー（Tencent）はバージョン16.10で本脆弱性を修正済みです。
• 配布されたDarkVigilはモジュラーな.NETツールセットで、20以上のプラグインとTCP/UDP/HTTP/WebSocketなど複数プロトコルの通信機能を持ちます。

（上記は提示情報の範囲に基づく要点です。追加のIOC・サンプルハッシュ・通信先の厳密な列挙は、一次情報を確認のうえで対応ください。）

編集部のインサイト（なぜ今これが刺さるのか）

• 設計の“弱いリンク”が攻撃の主戦場に移ったことの象徴です。ソフトそのものを汚染せずとも、HTTPのまま残った更新経路とDNSの可塑性を組み合わせれば、“利用者の信頼”を借りて侵入できます。これはベンダー侵害型サプライチェーンの「廉価版」で、検知のハードルも低いのが厄介です。
• DNSハイジャックは広域のどこでも起き得ます。侵害されたSOHOルータのDNS設定、公衆Wi-Fi/ホテルの悪意あるDNS、キャリアやISPの一部セグメント侵害など、利用者が気づきにくい層で成立します。感染国の並びは、ターゲットが“アジアで活動する個人・企業端末”である仮説と整合しますが、どの層が主因かは追加検証が必要です（仮説であり断定はしません）。
• IMEは常駐プロセスで“正規の顔”をして通信するため、EDR/プロキシ側の許可リストやノイズ抑制に乗じて目立ちにくいです。特に「自アプリの更新通信＝正当」という運用バイアスが、検知・遮断の空白地帯を作ります。
• DarkVigilは複数プロトコルを話すモジュール集合体という性格上、環境適応と回避の余地が広く、侵入初期から横方向や情報収集へ滑らかに移りやすいです。したがって入口（更新経路）で止める効果は他の脅威以上に大きいです。

脅威シナリオと影響

想定し得るシナリオ（仮説を含みます）とMITRE ATT&CKの観点を整理します。

• シナリオA：出先ネットワークでの静かな侵入

  • 出張中の端末がホテルWi‑Fiの改ざんDNSを使用し、Sogouの自動更新が攻撃者の配布点へ誘導。HTTPでモジュールを取得しDarkVigilが実行・常駐。
  • 影響：VPN接続時に社内へC2トラフィックや後続活動が混入。ゼロトラスト未整備なSaaSへのセッション窃取・情報持ち出しに発展。

• シナリオB：現地拠点・SOHOルータのDNS設定改ざんによる面展開

  • 海外子会社や在宅勤務環境のCPEが侵害され、DHCP配布DNSが攻撃者リゾルバに。複数端末が同時期に不正更新され、拠点全体が踏み台化。
  • 影響：拠点内横展開、域内ファイルサーバ・メール・財務システムへの偵察・抜き取り。

• シナリオC：ターゲティング強化（限定的）

  • 特定組織のトラフィックを観測したうえで、時間帯やバージョンに応じた選択的配布（DarkVigilの特定プラグインのみ投下）。
  • 影響：検知遅延と発覚時の事実認定の困難化。IRコストの増大。

MITRE ATT&CK（仮説ベースの整理）

• Resource Development
  • T1583（インフラ獲得）：配布用のサーバ・ドメイン、DNSリゾルバ運用基盤の準備。
  • T1584（インフラ侵害）：第三者のDNSサーバやCPEの乗っ取りが含まれる可能性。
• Initial Access / Delivery
  • T1195（Supply Chain Compromise）：正規更新チャネルの悪用。
  • T1557（Adversary-in-the-Middle）：DNSハイジャックによるトラフィック迂回。
  • T1105（Ingress Tool Transfer）：HTTP経由のペイロード搬入。
• Command and Control
  • T1071.001（Webプロトコル）：HTTP/WebSocket等でのC2通信。
  • T1568（Dynamic Resolution）：C2到達のための動的解決（可能性）。
• 以降のDiscovery/Collection/ExfiltrationはDarkVigilのプラグイン構成に依存し、個別IOC/挙動の一次情報確認が前提です（ここでは推定に留めます）。

影響評価の勘所

• 信頼性は高い（一次調査ベース）うえ、修正の可用性が確保されているため初動の「行動可能性」が高い事案です。一方で“HTTP更新＋DNS改ざん”は繰り返しやすく、他製品への横展開リスクという意味で中期的なリスクも看過できません。
• 国内本社に影響がないと見なすのは危険です。駐在員端末・往来する役員端末・現地子会社・委託先BPOなど、境界外の資産が持つ“更新経路の設計差”が攻撃面になります。ゼロトラストやMDMの適用外にこそ、今回のような設計リスクが残りやすいです。

セキュリティ担当者のアクション

優先度順に、現場で回せるタスクを具体化します。

• いま直ちに（24–48時間）

  • 資産棚卸しと強制更新：エンドポイント管理（MDM/EDR/SCCM等）でSogou入力法のインストール有無とバージョンを一括把握し、v16.10への更新を必須化します。未適用端末のネットワーク露出を制限します。
  • 自動更新のサニタイズ：プロキシ/NGFWで当該アプリケーションの更新通信がHTTPを使う場合にブロックまたは検疫へ誘導する一時ルールを敷き、TLS更新のみ通す方針に寄せます（業務影響の評価は並走）。
  • DNSの強制ルーティング：社内からの外向けDNS（UDP/TCP 53）を遮断し、許可した社内リゾルバ／DoT/DoHエンドポイントのみに強制します。DHCP Optionの上書き配布で端末のDNS逸脱を矯正します。
  • ハンティングの即応クエリ：
    • 過去120日で「該当アプリプロセスによるHTTPダウンロード」イベントを抽出し、未知の外部IP/ドメイン宛の実行ファイル（EXE/DLL/ZIP）取得を精査します。
    • 端末ごとの“利用DNSリゾルバIP”をネットワークログから逆引きし、社内許可範囲外のDNSに直接問い合わせた端末を横断抽出します。
    • 既知IOC（ESET公開の解決先IPやペイロードハッシュ）があれば即時IOCマッチングを実行します（一次情報の確認が前提です）。
  • 出先対策：海外出張者・在外拠点の端末は「常時VPN＋社内DNSヘアピン」を強制し、パブリックDNSや現地CPEのDNSを使わせない運用を徹底します。

• 近日中（1–2週間）

  • 更新チャンネルの構造監査：主要サードパーティ製品の自動更新方式を棚卸しし、TLS必須・証明書検証（可能ならピンニング）・更新パッケージの署名検証を要件化します。要件未達のアプリは「代理配布（ソフトウェア中心展開）」に切り替えます。
  • DNSレジリエンスの強化：検証機能付きリゾルバ（DNSSECバリデーション）を標準にし、拠点CPEの設定監査（管理者パスワード、ファーム更新、外部管理の無効化）を定期化します。DoH/DoTのログ可視化と“誰がどのDNSを使ったか”の監査線を通します。
  • アプリケーション許可リストの再設計：「自アプリの更新通信は常に正当」という前提を破棄し、プロセス名＋宛先＋プロトコル（TLS必須）という三点で許可するポリシーに移行します。

• 中期（1–3か月）

  • ゼロトラストの現地拠点拡張：現地法人・BPO・請負先の端末に対するコンディション付きアクセス（更新状態・EDR稼働・DNS制御の順守）をSaaS/IaaS側で強制し、“境界外の例外”を縮めます。
  • サプライチェーン検討会の常設：購買・法務・IT・SOCが同席し、第三者製品の「更新経路設計」をRFPの必須要件に格上げします。脆弱な設計を運用で補う場合の費用（プロキシ例外、監視負荷）を見える化します。
  • レッドチーム演習：社内ラボでDNS改ざん＋HTTP更新のMITM実験を行い、プロキシ・EDR・NDRのどこで止まるか、どこで見えるかを可視化してプレイブックを磨きます。

• 継続的モニタリング指標（例）

  • サードパーティ製品のうち「HTTP更新を残す割合」を四半期で0%に近づける。
  • 社内の外向けDNSを社内リゾルバへ強制できている端末比率（MDM準拠率）。
  • “正規プロセスによる不正な更新流量”の検知から隔離までのMTTD/MTTR。

最後に、今回の教訓はシンプルです。更新経路は製品の一部であり、更新の安全性は機能や性能と同じくらい重要です。HTTPのまま残る更新、曖昧なDNS経路、そして“正規プロセスなら大丈夫”という思い込みを、この機会に棚卸していきたいです。

参考情報

• 二次情報（速報解説）：DarkVigil Malware Campaign – Gbhackers（一次情報のESET公開内容を確認のうえ、最新のIOC・対策を反映してください）