Hackare utnyttjar Tencent Sogou-sårbarhet för att sprida GrayRabbit-skadlig kod

En Kina-kopplad hotgrupp utnyttjar en kritisk sårbarhet i Tencent Sogou Input Method för att sprida GrayRabbit-skadlig kod. Attacken, som endast kräver ett klick, riktar sig mot Windows-användare genom specialutformade länkar och kan leda till fjärrkörning av kod.

Sårbarheten, som spåras som CVE-2026-51990, påverkar en applikation som enligt uppgifter är installerad på hundratals miljoner system i Kina. Tencent åtgärdade sårbarheten i april, även om forskare uppger att programvarans underliggande webbläsare fortfarande medför betydande säkerhetsrisker.

UNC3569 utnyttjar sårbarhet med ett klick

Forskare på Gen Digital observerade hur hotgruppen UNC3569 utnyttjade CVE-2026-51990 i aktiva attacker. Hackarna använde skadliga länkar för att installera GrayRabbit-bakdörren på utvalda Windows-datorer.

Sogou Input Method hjälper användare att skriva kinesiska tecken med ett vanligt tangentbord. Dessutom innehåller applikationen en anpassad länkhanterare och en integrerad webbläsare baserad på en föråldrad Chromium-motor.

Attacken kräver endast att offret klickar på en specialutformad länk. Därför kan hotaktörer starta hela infektionskedjan med minimal interaktion från användaren.

Forskare har kopplat UNC3569 till Kina och har tidigare associerat gruppen med både cyberbrottslighet och verksamhet som inhyrd cyberaktör.

Attacken kombinerar tre säkerhetsbrister

UNC3569 kombinerar tre svagheter i Sogou Input Method. Dessa omfattar injicering av kommandoradsargument, obegränsad webview-navigering och en föråldrad Chromium-webbläsare utan sandbox-skydd.

Först klickar offret på en skadlig länk som använder Sogous anpassade sgbiz:-URI-schema. Windows startar därefter den legitima protokollhanteraren biz_helper.exe.

Hanteraren vidarebefordrar angriparkontrollerade kommandoradsargument till den legitima applikationen SGMyInput.exe utan att validera dem. Följaktligen kan angripare öppna Sogous skin-center och kontrollera dess inbäddade Chromium-webview.

Därefter dirigerar de injicerade argumenten webview-komponenten till en webbplats som kontrolleras av angriparen. Sogou begränsade varken destinationen eller URL-schemat som användes under detta steg.

Slutligen utnyttjar den skadliga webbplatsen en känd sårbarhet i den föråldrade Chromium 80-motorn. Webbläsaren körs utan sandbox och har viktiga webbskydd inaktiverade. Som ett resultat uppnår exploiten kodkörning och installerar GrayRabbit-skadlig kod.

GrayRabbit-bakdörren får nya funktioner

Säkerhetsforskare har tidigare beskrivit GrayRabbit som en modulär familj av skadlig kod kopplad till UNC3569. Provet som analyserades i den senaste kampanjen verkar dock vara mer utvecklat än tidigare versioner.

Den nya 64-bitarsvarianten innehåller en utökad uppsättning kommandon. Den skyddar också sin command-and-control-konfiguration med RC4-kodning.

GrayRabbit-skadlig kod kan köra processer och öppna interaktiva reverse shells. Dessutom kan den ladda upp eller ladda ner filer och samla in information om offrets system och användarkonto.

Bakdörren kan även läsa in ytterligare plugins direkt i datorns minne. Denna teknik hjälper angripare att utöka dess funktionalitet samtidigt som mängden spår som skrivs till lagringen begränsas.

Tencent släpper säkerhetsuppdatering

Gen Threat Labs rapporterade sårbarheten till Tencent den 9 april. Företaget åtgärdade den därefter i Sogou Input Method version 16.3.0.3498, som släpptes den 21 april.

Uppdateringen validerar URL-argument som skickas via den anpassade protokollhanteraren. Den tillåter också endast HTTPS-anslutningar och begränsar navigeringen till godkända Sogou- och Tencent-domäner.

Användare bör därför omedelbart installera version 16.3.0.3498 eller en senare version. Organisationer bör också undersöka oväntade starter av Sogous protokollhanterare och anslutningar till okända webbplatser.

Uppdateringen löser dock inte alla problem. Forskare varnar för att applikationen fortfarande använder en föråldrad Chromium-motor utan sandboxing. Dessutom fortsätter webbläsaren att köras med flera viktiga webbsäkerhetsskydd inaktiverade.