Gebruikers van de Chinese keyboard-app Sogou zijn weer het doelwit van malware-aanvallen geworden. Dit keer gebeurde dat via DNS hijacking, aldus antivirusbedrijf ESET. De virusbestrijder waarschuwde ontwikkelaar Tencent voor het probleem waar de aanvallers misbruik van maakten. Zeven weken later kwam Tencent met een nieuwe versie van Sogou waarin het probleem was verholpen.

Sogou is één van de populairste input method editors voor Windows. Het laat gebruikers Chinese karakters op het systeem invoeren. De software zou honderden miljoenen gebruikers wereldwijd hebben. In september werd bekend dat aanvallers een kwetsbaarheid in de software misbruikten om gebruikers met een backdoor te infecteren. Twee jaar geleden was het ESET dat meldde dat Sogou-gebruikers door middel van een man-in-the-middle (MiTM)-aanval met malware werden besmet.

Op 1 juli dit jaar zag ESET hoe gebruikers van Sogou in Hong Kong, Thailand, Japan, Vietnam, Sri Lanka en Oman tijdens het gebruik van Sogou met malware besmet raakten. Verder onderzoek wees uit dat er sprake was van DNS (domain name system) hijacking. Aanvallers misbruikten het feit dat de software via HTTP communiceert. Zo konden ze requests van Sogou kapen en aanpassen. De software kreeg zo de instructie om malware te downloaden en op systemen van gebruikers uit te voeren.

De onderzoekers weten niet hoe de DNS hijacking precies plaatsvond. Daarbij worden verschillende scenario's genoemd, zoals gehackte routers of onderschepping op het niveau van de internetprovider. De malware die bij slachtoffers werd geïnstalleerd verzamelt informatie en kan aanvullende malware installeren. ESET waarschuwde Tencent op 11 september dat aanvallers misbruik van de HTTP-communicatie van de software maakten om gebruikers met malware te infecteren. Het Chinese softwarebedrijf kwam op 30 oktober met versie 16.10. Daarin zijn de HTTP requests omgezet naar HTTPS requests en wordt er gebruikgemaakt van certificaat pinning.