Hacker nutzen Tencent Sogou-Schwachstelle aus, um GrayRabbit-Malware zu verbreiten

Eine mit China in Verbindung gebrachte Bedrohungsgruppe nutzt eine kritische Schwachstelle in Tencent Sogou Input Method aus, um die GrayRabbit-Malware zu verbreiten. Der Ein-Klick-Angriff zielt über speziell präparierte Links auf Windows-Nutzer ab und kann zur Remote-Code-Ausführung führen.

Die als CVE-2026-51990 verfolgte Schwachstelle betrifft eine Anwendung, die Berichten zufolge auf Hunderten Millionen Systemen in China installiert ist. Tencent hat die Schwachstelle im April behoben, obwohl Sicherheitsforscher darauf hinweisen, dass der zugrunde liegende Browser der Software weiterhin erhebliche Sicherheitsrisiken birgt.

UNC3569 nutzt Ein-Klick-Schwachstelle aus

Forscher von Gen Digital beobachteten, wie die Bedrohungsgruppe UNC3569 CVE-2026-51990 bei aktiven Angriffen ausnutzte. Die Hacker verwendeten schädliche Links, um die GrayRabbit-Backdoor auf gezielt angegriffenen Windows-Computern zu installieren.

Sogou Input Method hilft Nutzern dabei, chinesische Schriftzeichen mit einer Standardtastatur einzugeben. Darüber hinaus enthält die Anwendung einen benutzerdefinierten Link-Handler und einen integrierten Webbrowser, der auf einer veralteten Chromium-Engine basiert.

Für den Angriff muss ein Opfer lediglich auf einen speziell präparierten Link klicken. Bedrohungsakteure können daher die gesamte Infektionskette mit minimaler Benutzerinteraktion starten.

Forscher brachten UNC3569 mit China in Verbindung und ordneten die Gruppe zuvor sowohl Cyberkriminalität als auch Auftragsaktivitäten zu.

Angriff kombiniert drei Sicherheitsschwachstellen

UNC3569 kombiniert drei Schwachstellen in Sogou Input Method. Dazu gehören die Einschleusung von Kommandozeilenargumenten, uneingeschränkte Webview-Navigation und ein veralteter Chromium-Browser ohne Sandbox-Schutz.

Zunächst klickt das Opfer auf einen schädlichen Link, der Sogous benutzerdefiniertes sgbiz:-URI-Schema verwendet. Windows startet daraufhin den legitimen biz_helper.exe-Protokoll-Handler.

Der Handler leitet vom Angreifer kontrollierte Kommandozeilenargumente an die legitime Anwendung SGMyInput.exe weiter, ohne diese zu validieren. Dadurch können Angreifer Sogous Skin-Center öffnen und dessen eingebettete Chromium-Webview kontrollieren.

Anschließend leiten die eingeschleusten Argumente die Webview auf eine vom Angreifer kontrollierte Website weiter. Sogou schränkte dabei weder das Ziel noch das in diesem Schritt verwendete URL-Schema ein.

Schließlich nutzt die schädliche Website eine bekannte Schwachstelle in der veralteten Chromium-80-Engine aus. Der Browser läuft ohne Sandbox und mehrere wichtige Web-Schutzmechanismen sind deaktiviert. Dadurch erreicht der Exploit eine Code-Ausführung und installiert die GrayRabbit-Malware.

GrayRabbit-Backdoor erhält neue Funktionen

Sicherheitsforscher haben GrayRabbit bereits zuvor als modulare Malware-Familie beschrieben, die mit UNC3569 in Verbindung steht. Die in der jüngsten Kampagne analysierte Variante scheint jedoch ausgereifter zu sein als frühere Versionen.

Die neue 64-Bit-Variante verfügt über einen erweiterten Befehlssatz. Außerdem schützt sie ihre Command-and-Control-Konfiguration mit RC4-Codierung.

Die GrayRabbit-Malware kann Prozesse ausführen und interaktive Reverse Shells öffnen. Darüber hinaus kann sie Dateien hoch- oder herunterladen und Informationen über das System und das Benutzerkonto des Opfers sammeln.

Die Backdoor kann außerdem zusätzliche Plugins direkt in den Arbeitsspeicher des Computers laden. Diese Technik hilft Angreifern dabei, ihre Funktionalität zu erweitern und gleichzeitig die auf dem Speichermedium hinterlassenen Spuren zu begrenzen.

Tencent veröffentlicht Sicherheitsupdate

Gen Threat Labs meldete die Schwachstelle am 9. April an Tencent. Das Unternehmen behob sie anschließend in Sogou Input Method Version 16.3.0.3498, die am 21. April veröffentlicht wurde.

Das Update validiert URL-Argumente, die über den benutzerdefinierten Protokoll-Handler übergeben werden. Außerdem erlaubt es nur HTTPS-Verbindungen und beschränkt die Navigation auf genehmigte Sogou- und Tencent-Domains.

Nutzer sollten daher umgehend Version 16.3.0.3498 oder eine neuere Version installieren. Organisationen sollten außerdem unerwartete Starts des Sogou-Protokoll-Handlers und Verbindungen zu unbekannten Websites untersuchen.

Das Update behebt jedoch nicht alle Bedenken. Forscher warnten davor, dass die Anwendung weiterhin eine veraltete Chromium-Engine ohne Sandboxing verwendet. Darüber hinaus läuft der Browser weiterhin mit mehreren deaktivierten wichtigen Web-Sicherheitsmechanismen.