En Kina-tilknyttet trusselgruppe utnytter en kritisk sårbarhet i Tencent Sogou Input Method for å spre GrayRabbit-skadevare. Ettklikksangrepet retter seg mot Windows-brukere gjennom spesialutformede lenker og kan føre til ekstern kjøring av kode.
Sårbarheten, registrert som CVE-2026-51990, påvirker en applikasjon som angivelig er installert på hundrevis av millioner systemer i Kina. Tencent rettet sårbarheten i april, selv om forskere sier at programvarens underliggende nettleser fortsatt innebærer betydelige sikkerhetsrisikoer.
UNC3569 utnytter ettklikksårbarhet
Forskere hos Gen Digital observerte trusselgruppen UNC3569 utnytte CVE-2026-51990 i aktive angrep. Hackerne brukte ondsinnede lenker til å installere GrayRabbit-bakdøren på målrettede Windows-datamaskiner.
Sogou Input Method hjelper brukere med å skrive kinesiske tegn med et standardtastatur. I tillegg inkluderer applikasjonen en egendefinert lenkehåndterer og en integrert nettleser basert på en utdatert Chromium-motor.
Angrepet krever bare at et offer klikker på en spesialutformet lenke. Trusselaktører kan derfor starte hele infeksjonskjeden med minimal brukerinteraksjon.
Forskere knyttet UNC3569 til Kina og har tidligere forbundet gruppen med både cyberkriminalitet og oppdragsbasert aktivitet.
Angrepet kombinerer tre sikkerhetssvakheter
UNC3569 kombinerer tre svakheter i Sogou Input Method. Disse inkluderer injeksjon av kommandolinjeargumenter, ubegrenset webview-navigasjon og en utdatert Chromium-nettleser uten sandbox-beskyttelse.
Først klikker offeret på en ondsinnet lenke som bruker Sogous egendefinerte sgbiz: URI-skjema. Windows starter deretter den legitime biz_helper.exe-protokollhåndtereren.
Håndtereren videresender angriperkontrollerte kommandolinjeargumenter til den legitime SGMyInput.exe-applikasjonen uten å validere dem. Dermed kan angripere åpne Sogous skin-senter og kontrollere den innebygde Chromium-webviewen.
Deretter dirigerer de injiserte argumentene webviewen til et nettsted kontrollert av angriperen. Sogou begrenset verken destinasjonen eller URL-skjemaet som ble brukt i dette trinnet.
Til slutt utnytter det ondsinnede nettstedet en kjent sårbarhet i den utdaterte Chromium 80-motoren. Nettleseren kjører uten sandbox og har viktige nettbeskyttelser deaktivert. Som et resultat oppnår utnyttelsen kodekjøring og installerer GrayRabbit-skadevare.
GrayRabbit-bakdøren får nye funksjoner
Sikkerhetsforskere har tidligere beskrevet GrayRabbit som en modulær skadevarefamilie knyttet til UNC3569. Prøven som ble analysert i den siste kampanjen, ser imidlertid ut til å være mer moden enn tidligere versjoner.
Den nye 64-bitersvarianten inneholder et utvidet kommandosett. Den beskytter også command-and-control-konfigurasjonen med RC4-koding.
GrayRabbit-skadevaren kan kjøre prosesser og åpne interaktive reverse shells. I tillegg kan den laste opp eller laste ned filer og samle inn informasjon om offerets system og brukerkonto.
Bakdøren kan også laste inn flere plugins direkte i datamaskinens minne. Denne teknikken hjelper angripere med å utvide funksjonaliteten samtidig som den begrenser sporene som skrives til lagringsmediet.
Tencent lanserer sikkerhetsoppdatering
Gen Threat Labs rapporterte sårbarheten til Tencent 9. april. Selskapet rettet den deretter i Sogou Input Method versjon 16.3.0.3498, som ble lansert 21. april.
Oppdateringen validerer URL-argumenter som sendes gjennom den egendefinerte protokollhåndtereren. Den tillater også bare HTTPS-tilkoblinger og begrenser navigasjon til godkjente Sogou- og Tencent-domener.
Brukere bør derfor installere versjon 16.3.0.3498 eller en nyere versjon umiddelbart. Organisasjoner bør også undersøke uventede oppstarter av Sogous protokollhåndterer og tilkoblinger til ukjente nettsteder.
Oppdateringen løser imidlertid ikke alle bekymringer. Forskere advarte om at applikasjonen fortsatt bruker en utdatert Chromium-motor uten sandboxing. Videre fortsetter nettleseren å kjøre med flere viktige nettsikkerhetsbeskyttelser deaktivert.
0 responses to “Hackere utnytter Tencent Sogou-sårbarhet for å spre GrayRabbit-skadevare”