【人民報消息】（人民報記者
麗君編譯報導）據雅虎財經11月4日刊登的歐洲資安公司ESET新聞稿，ESET研究員Anh Ho揭露，一個被認定與中共政府利益一致的駭客組織SlippyNunchucks，利用騰訊旗下搜狗輸入法的安全漏洞，透過網域名稱系統（DNS）劫持散播惡意軟件，對海外用戶及機構展開網路間諜活動。受害目標遍及香港、日本、泰國、越南、阿曼及斯里蘭卡等地。ESET高度確信，該組織與符合中共政府利益的國家級監控行動有關，引發外界對海外華語使用者遭跨境監控的安全疑慮。
中國相關駭客藉合法軟件植入後門
ESET將涉案駭客組織命名為SlippyNunchucks，並高度確信其活動與符合中共政府利益的國家級監控行動有關。該組織至少自2023年9月起活躍，主要利用名為DarkVigil的惡意軟件，對亞洲及歐洲的特定機構與華語使用者展開網路間諜活動。
ESET指出，研究人員於2026年7月1日發現，DarkVigil惡意程式竟透過搜狗輸入法的合法元件SGTool.exe啟動。進一步調查發現，駭客利用該軟件未加密的HTTP通訊機制，透過網域名稱系統（DNS）劫持，將原本發往搜狗官方伺服器的設定請求，轉送至攻擊者控制的伺服器。
遭利用的是搜狗輸入法的「品牌詞庫推廣」功能，原本用於下載品牌詞庫圖示及相關設定。ESET發現，SGTool.exe有20個連線端點使用未加密的HTTP通訊，即使官方伺服器支援較安全的HTTPS協定，相關功能仍缺乏必要的傳輸保護，使駭客有機會竄改設定資料。
駭客藉由操縱DNS解析結果，使受害電腦連上攻擊者控制的伺服器，取得偽造的設定檔，再誘使搜狗輸入法下載具有合法數位簽章的Adobe程式，以及藏有DarkVigil間諜軟件的惡意動態連結程式庫（DLL）。駭客還在設定檔中填入與惡意檔案相符的MD5校驗值，使其通過軟件既有的完整性檢查。
隨後，駭客利用合法Adobe程式載入惡意DLL，並借助搜狗輸入法原有的元件管理機制執行DarkVigil。這種稱為「DLL側載」的攻擊手法，使惡意程式得以隱藏在正常軟件的執行流程中。使用者即使沒有主動下載可疑檔案或點擊惡意連結，也可能在不知情的情況下遭到入侵。
搜狗輸入法是中國廣泛使用的中文輸入工具，2006年由搜狗公司推出，隨著騰訊於2021年完成收購搜狗，現已成為騰訊旗下產品。此次事件顯示，普及率高的合法軟件一旦存在安全漏洞，就可能成為駭客滲透海外用戶電腦的管道。
ESET進一步指出，SlippyNunchucks並非首次利用合法軟件部署DarkVigil。研究人員發現，該組織自2025年以來，還曾利用QuickFox、QingTalk、MiYunChat等應用程式發動攻擊。其中，QuickFox曾遭供應鏈入侵，顯示駭客持續利用不同軟件的安全弱點或遭入侵的軟件供應管道，對特定目標展開滲透。
這起事件凸顯，中國相關駭客不僅利用傳統網路漏洞，也能藉助廣泛使用的合法軟件，建立隱蔽的間諜活動管道。對依賴中國開發軟件的海外華語使用者而言，相關產品的安全防護、通訊機制及遭跨境監控的潛在風險，值得持續關注。
攻擊遍及多國 涉跨境情報蒐集
根據ESET掌握的資安監測資料，SlippyNunchucks主要鎖定南亞及東亞的機構與華語使用者。此次利用搜狗輸入法漏洞發動的攻擊，已波及香港、泰國、日本、越南、阿曼及斯里蘭卡等地，顯示其網路間諜活動具有跨國滲透特徵。
該組織的整體攻擊範圍更廣。ESET發現，德國、俄羅斯、英國及奧地利的個人用戶也曾遭到攻擊。值得注意的受害目標包括一家在斯里蘭卡、菲律賓及香港經營中文線上博彩平台的跨國機構、杜拜一家網咖，以及丹麥一名大學生，顯示其監控對象不僅限於企業或政府機構，也涵蓋一般民間用戶。
其中，跨國博彩機構尤其受到研究人員關注。ESET發現，該機構曾遭到顯著的網路監控活動。由於跨境博彩業務長期受到中共當局關注，這起事件也引發疑問：中國相關駭客是否藉由秘密滲透境外企業，蒐集特定組織及人員的敏感資訊，甚至將監控範圍延伸至海外華語社群？
ESET指出，駭客使用的DarkVigil是一套模組化惡意軟件系統，具有超過20種已知外掛模組，並透過專門的通訊協定與遠端控制伺服器交換資料及指令。這種架構使攻擊者能依不同目標部署監控功能，並在入侵後持續控制受害系統及蒐集資訊。
研究人員還發現，DarkVigil是建立在名為「Vigil」的惡意軟件框架之上，並找到一個顯示「Vigil」標誌的網頁管理後台，用於管理從受害系統竊取的資料。結合其模組化監控工具、跨國受害目標及持續活動紀錄，ESET認為，SlippyNunchucks的行動符合具有國家背景的長期網路間諜活動特徵，而非單純散播惡意程式的零星攻擊。
疑配合北京利益 海外華人面臨監控風險
這起事件最受關注之處，在於中共相關駭客的跨境監控行動，是否與北京的情報蒐集需求及國家利益有關。ESET根據受害目標、攻擊手法及長期活動模式研判，SlippyNunchucks並非一般網路犯罪組織，而是與中共政府利益一致、疑具國家背景的駭客組織。
ESET於10月28日發布的另一份進階持續性威脅（APT）活動報告指出，中國相關駭客組織曾在東南亞及大洋洲展開情報蒐集行動。其中，SlippyNunchucks曾在斯里蘭卡針對涉嫌參與詐騙活動的華語人士部署DarkVigil，顯示其監控目標已延伸至中國境外的特定個人。這類隱蔽的跨境網路滲透行動，也引發對境外個人資訊安全、隱私保護及未經授權監控的疑慮。
這些發現使外界更加關注，中共相關駭客是否藉由合法民用軟件，將情報蒐集與秘密監控延伸至境外企業及華語社群。儘管現有公開研究尚未確認SlippyNunchucks與中共當局之間的具體指揮關係，ESET揭露的持續性攻擊、跨國受害目標及監控工具，已為追查中共相關網路間諜活動提供重要線索。
騰訊修補漏洞 仍存其他安全隱憂
ESET於2026年9月11日向騰訊通報搜狗輸入法的安全漏洞，騰訊9月21日確認問題，並於10月30日推出16.10版本加以修補。該漏洞編號為CVE-2026-120422，涉及軟件通訊機制遭駭客利用，進而植入惡意程式的風險。
新版將受影響的HTTP連線改為加密HTTPS，並加入憑證綁定驗證，防止攻擊者藉由偽造伺服器身分傳送惡意設定檔，降低DNS劫持攻擊得逞的可能性。
不過，ESET警告，修補通訊漏洞並不代表所有安全問題都已解決。研究人員發現，搜狗輸入法仍缺乏充分的下載檔案類型驗證，以及嚴格的檔案儲存路徑限制。這些缺陷可能使惡意執行檔偽裝成正常圖片遭到下載，甚至覆寫原有程式檔案，為其他攻擊手法留下可乘之機。
此外，駭客究竟如何操縱受害電腦的DNS解析，目前仍是未解之謎。ESET指出，可能途徑包括路由器遭入侵、DNS設定遭惡意修改，或網際網路服務供應商（ISP）層級的流量攔截。由於實際劫持位置尚未查明，研究人員仍無法完整還原攻擊者如何控制受害者的網路通訊。
值得注意的是，搜狗輸入法並非首次出現在中國相關駭客的攻擊研究中。ESET過去曾揭露其他駭客組織利用搜狗輸入法的網路通訊弱點散播惡意程式。此次SlippyNunchucks事件再次凸顯，廣泛使用的中國軟件若缺乏完善的安全防護，可能成為境外用戶遭秘密滲透及情報蒐集的管道。即使漏洞已獲修補，相關產品的安全設計、資料保護及潛在跨境監控風險，仍有必要持續檢視。
（人民報首發）△
