ESET 揭露搜狗輸入法 DNS 劫持：如何強化端點軟體供應鏈治理

企業端點的風險，不一定從陌生程式或可疑附件開始。有時候，員工每天使用的輸入法、更新服務或其他看似正常的工具，也可能成為攻擊者利用的入口。這提醒資安與 IT 團隊：軟體清冊不能只列作業系統和大型商用應用，輸入法等常駐工具也應納入供應鏈與端點治理。

ESET Research 於 2026 年 11 月 4 日公開 SlippyNunchucks 攻擊活動分析，指出攻擊者利用 Windows 版搜狗輸入法（Sogou Input Method）部分 HTTP 通訊遭 DNS 劫持的情境，將惡意設定導入既有應用程式工作流程。ESET 表示已向開發商通報；騰訊其後發布 16.10 版本，將受影響的 HTTP 請求改為 HTTPS，並透過 TLS 憑證驗證降低惡意設定被注入的風險。

從輸入法事件看見的端點供應鏈風險

這起事件的重點不只是某一款輸入法，而是合法軟體的正常功能也可能被濫用。當應用程式透過未加密的 HTTP 取得設定或內容時，攻擊者若能操控 DNS 或網路路徑，就可能讓用戶端連到非預期的目的地。若惡意內容又被放進原本就會執行的程式流程，傳統上只檢查檔案名稱或安裝來源的管理方式便可能不足。

ESET 公告指出，研究團隊觀察到相關活動鎖定香港、泰國、日本、越南、阿曼及斯里蘭卡的組織與華語使用者。這些公開觀察範圍不代表台灣企業已被確認受害，也不能直接推論所有搜狗輸入法使用者都遭到入侵；但對在台設有據點、使用中文輸入工具，或與亞洲供應鏈密切合作的企業而言，值得將此事件納入端點檢查與軟體更新流程。

企業應優先完成的四項檢查

• 盤點輸入法與常駐工具：透過端點軟體清冊確認哪些電腦安裝搜狗輸入法、版本為何、由誰核准安裝，以及是否仍有業務必要。也應一併檢查其他輸入法、瀏覽器擴充元件、同步工具及自動更新程式。
• 確認修補版本與更新來源：針對使用中的搜狗輸入法，依開發商正式公告確認是否已升級至修正問題的 16.10 版本或更新版本。更新前先在代表性部門測試相容性，再透過企業核准的軟體派送流程部署；不要只依賴員工自行更新。
• 檢視網路與 DNS 設定：確認端點使用的 DNS 伺服器、代理伺服器及安全閘道符合企業政策，並檢查是否存在未經核准的 DNS 設定變更、異常外連或不尋常的程式啟動行為。HTTPS 能降低傳輸遭竄改風險，但不能取代端點與網路監控。
• 保留調查所需紀錄：保存端點偵測事件、DNS 查詢、代理伺服器與防火牆紀錄，以及軟體版本和更新時間。若發現異常，應依事件應變程序隔離端點、保全證據並評估帳號憑證是否需要重設。

ESET PROTECT 可扮演的管理角色

從產品能力來看，ESET PROTECT Platform 提供集中式管理介面，並依方案與模組提供端點防護、威脅偵測與回應、弱點與修補管理、威脅情資及 MDR 等能力。官方新加坡產品頁亦列出 ESET Inspect 的威脅獵捕、事件調查、IOC 搜尋、根因分析與自動化回應等功能，以及端點軟硬體盤點和裝置管理能力。

對這類輸入法供應鏈事件，企業可評估如何利用端點清冊確認軟體部署情況、透過偵測與調查資訊追查可疑程序或網路連線，再將事件交由內部 SOC 或 MDR 團隊依嚴重度處理。這是依公開產品功能提出的導入情境，不代表 ESET 已針對本次搜狗事件提供特定的自動偵測規則或保證攔截能力；採購前應要求原廠或合作夥伴示範實際可用的遙測、偵測內容及授權條件。

導入時的評估重點

企業常見多廠區、分公司、遠端辦公及委外維運環境，端點軟體版本容易因網路區隔、權限差異或使用者自行安裝而不一致。導入端點防護平台時，建議先挑選總部、分點及高敏感部門建立試行群組，確認代理程式部署方式、離線端點回報、政策例外、更新時段與回復程序，再逐步擴大。

採購評估不應只比較偵測率或授權單價，也應確認管理主控台採雲端或地端部署的選項、資料處理與保存地點、繁體中文支援、在地服務窗口、事件通報時效、MDR 服務時區，以及與既有 SIEM、SOAR、ITSM 的整合方式。若企業有工廠 OT 或特殊設備，應先確認作業系統支援與維護窗口，避免未經測試就對生產設備全面派送更新。

把軟體清冊變成可執行的風險治理

這次事件帶給企業的實務訊息，是端點安全必須同時涵蓋軟體來源、版本、通訊方式與執行行為。輸入法看似不是核心系統，卻可能長期駐留在大量員工電腦上；若缺乏盤點、修補與異常調查機制，微小的軟體弱點就可能擴大成營運風險。

建議 IT 與資安團隊在近期完成搜狗輸入法版本盤點，確認修補狀態，並將輸入法及其他常駐工具納入軟體核准清單、端點政策和定期稽核。ESET PROTECT 可作為集中管理與偵測回應的評估選項，但最終防護成效仍取決於實際授權模組、部署涵蓋率、政策設計與事件處理流程。