Você instala um aplicativo para facilitar a digitação no computador. Ele funciona normalmente, não apresenta erros e continua fazendo exatamente aquilo que prometeu. Até aí, nada de estranho.
O problema começa quando criminosos encontram uma maneira de explorar esse mesmo programa para instalar uma ferramenta de espionagem. E o mais curioso é que o aplicativo nem precisa ser falso ou ter sido desenvolvido por alguém mal-intencionado.
Foi justamente esse o cenário identificado por pesquisadores da ESET, que descobriram uma campanha de ciberespionagem envolvendo o Sogou Input Method, um popular aplicativo utilizado para digitar caracteres chineses no Windows.
A operação foi atribuída ao grupo SlippyNunchucks, associado a interesses chineses, e utilizava uma vulnerabilidade para distribuir o malware DarkVigil.
O caso chama atenção não apenas pela sofisticação do ataque, mas por mostrar como um software legítimo pode acabar trabalhando a favor de criminosos sem que o usuário perceba.
Um aplicativo confiável pode se tornar uma ameaça?
O Sogou Input Method é desenvolvido pela Tencent, uma das maiores empresas de tecnologia da China. O programa facilita a escrita de caracteres chineses e faz parte da rotina de milhões de usuários.
E é justamente essa popularidade que torna o caso interessante.
Em vez de convencer as vítimas a instalar um programa desconhecido, os invasores exploraram um mecanismo de comunicação que já existia dentro do aplicativo.
Segundo a investigação, a campanha foi observada a partir de julho de 2026 e atingiu organizações e pessoas que utilizavam o idioma chinês em países como Japão, Tailândia, Vietnã, Omã e Sri Lanka, além de Hong Kong.
Não estamos falando, portanto, de um aplicativo criado para espionar usuários. O que aconteceu foi a exploração de uma vulnerabilidade em um programa legítimo, permitindo que criminosos interferissem em seu funcionamento.
Uma diferença importante, especialmente em uma época em que costumamos associar malware a downloads suspeitos e links recebidos de desconhecidos.
Como os hackers conseguiram explorar o Sogou?
A vulnerabilidade estava relacionada à maneira como o aplicativo buscava determinadas configurações pela internet.
O Sogou utilizava conexões HTTP sem criptografia para recuperar informações de um mecanismo de promoção de vocabulário. Em condições normais, esse processo deveria apenas receber configurações legítimas do serviço.
Os invasores, porém, conseguiram manipular a resolução de DNS, mecanismo responsável por traduzir nomes de domínio em endereços de servidores.
Na prática, isso permitiu redirecionar determinadas solicitações do aplicativo para servidores controlados pelos criminosos.
Esses servidores respondiam com configurações maliciosas, instruindo um componente legítimo do Sogou, chamado SGTool.exe, a baixar arquivos adicionais.
Entre eles estava uma biblioteca maliciosa contendo o DarkVigil, executada por meio de uma técnica conhecida como DLL sideloading, que aproveita o carregamento de bibliotecas por programas legítimos.
Parece complicado, mas a lógica é relativamente simples: o aplicativo acreditava estar seguindo instruções de configuração, quando, na verdade, estava recebendo comandos manipulados pelos invasores.
O usuário não precisava necessariamente perceber qualquer alteração visível no funcionamento do programa.
DarkVigil: o malware por trás da operação
O objetivo da campanha não era simplesmente comprometer computadores por diversão.
O DarkVigil é uma ferramenta de acesso remoto utilizada em operações de espionagem digital. Sua arquitetura modular permite que os operadores adicionem funcionalidades conforme as necessidades de cada ataque.
De acordo com a análise divulgada pelo The Hacker News, o ecossistema utilizado pelos invasores inclui mais de 20 módulos, capazes de apoiar atividades como coleta de informações e manutenção de acesso aos sistemas comprometidos.
A ESET acompanha esse conjunto de ferramentas desde 2025 e identificou atividades do grupo SlippyNunchucks desde pelo menos 2023.
Entre os alvos observados estava uma organização multinacional ligada a plataformas de apostas em idioma chinês, com operações em diferentes países asiáticos.
Os pesquisadores consideram que o grupo atua alinhado a interesses do governo chinês. Entretanto, essa atribuição é uma avaliação de inteligência baseada nas evidências disponíveis, e não uma comprovação pública de comando direto por autoridades chinesas.
Essa distinção é importante porque, no universo da cibersegurança, identificar a origem técnica de um ataque nem sempre significa identificar definitivamente quem ordenou a operação.
A Tencent corrigiu a vulnerabilidade?
Sim. Após receber as informações dos pesquisadores, a Tencent disponibilizou uma correção para a vulnerabilidade identificada como CVE-2026-120422.
A atualização chegou na versão 16.10 do Sogou Input Method, lançada em 29 de outubro de 2026.
A principal mudança foi substituir as comunicações HTTP vulneráveis por conexões HTTPS, com validação de certificados TLS.
Isso dificulta que criminosos utilizem a mesma técnica para substituir configurações legítimas por instruções maliciosas.
Vale destacar que instalar a atualização corrige a vulnerabilidade explorada, mas não significa necessariamente remover uma eventual infecção que já tenha ocorrido. Sistemas com suspeita de comprometimento precisam de uma análise de segurança específica.
Outro detalhe curioso é que esta não foi a primeira vez que o Sogou apareceu em uma investigação de ciberespionagem.
Em setembro de 2026, pesquisadores da Gen Digital identificaram outra vulnerabilidade, explorada em uma campanha diferente para distribuir o malware GRAYRABBIT.
Embora os dois episódios envolvam o mesmo aplicativo, as vulnerabilidades, os métodos utilizados e os grupos identificados são distintos.
O que esse ataque revela sobre a nossa segurança digital?
Existe uma tendência de imaginar que ataques cibernéticos começam sempre com alguma atitude claramente arriscada: baixar um arquivo desconhecido, clicar em um anúncio suspeito ou instalar um programa pirata.
Esses riscos continuam existindo, evidentemente. Mas o caso do Sogou demonstra que o problema pode estar em componentes de programas legítimos que utilizamos diariamente. E isso muda bastante a conversa.
Um aplicativo conhecido não é automaticamente imune a vulnerabilidades. Da mesma forma, baixar um programa de sua fonte oficial reduz determinados riscos, mas não elimina a possibilidade de falhas de segurança.
Para usuários, manter aplicativos atualizados continua sendo uma medida essencial. Para empresas, o episódio reforça a importância de monitorar comunicações de rede, gerenciar softwares instalados e investigar comportamentos incomuns, mesmo quando eles partem de programas confiáveis.
Também existe uma lição para os desenvolvedores: mecanismos aparentemente secundários, como a atualização de configurações ou conteúdos promocionais, precisam receber a mesma atenção de segurança dedicada às funcionalidades principais.
Afinal, foi justamente um desses mecanismos que abriu caminho para o ataque.
O perigo nem sempre está no aplicativo que você instala
O caso do Sogou mostra que a segurança digital não depende apenas de reconhecer programas suspeitos.
Às vezes, a ameaça aparece quando criminosos encontram uma maneira de transformar funcionalidades legítimas em instrumentos para executar suas próprias ações.
O aplicativo continua sendo o mesmo. Sua aparência pode permanecer inalterada. E o usuário talvez nem perceba que algo aconteceu.
A diferença está naquilo que ocorre nos bastidores. No fim das contas, a pergunta deixa de ser apenas se podemos confiar em determinado aplicativo.
Passa a ser se estamos preparados para perceber quando algo confiável começa a se comportar de maneira diferente.
