En Kina-tilknyttet trusselsgruppe udnytter en kritisk sårbarhed i Tencent Sogou Input Method til at sprede GrayRabbit-malware. Etklik-angrebet målretter Windows-brugere gennem specialudformede links og kan føre til fjernkørsel af kode.
Sårbarheden, der spores som CVE-2026-51990, påvirker en applikation, der angiveligt er installeret på hundredvis af millioner af systemer i Kina. Tencent rettede sårbarheden i april, selv om forskere siger, at softwarens underliggende browser stadig medfører betydelige sikkerhedsrisici.
UNC3569 udnytter etklik-sårbarhed
Forskere hos Gen Digital observerede trusselsgruppen UNC3569 udnytte CVE-2026-51990 i aktive angreb. Hackerne brugte ondsindede links til at installere GrayRabbit-bagdøren på målrettede Windows-computere.
Sogou Input Method hjælper brugere med at indtaste kinesiske tegn med et standardtastatur. Derudover indeholder applikationen en brugerdefineret linkhåndtering og en integreret webbrowser baseret på en forældet Chromium-motor.
Angrebet kræver kun, at et offer klikker på et specialudformet link. Derfor kan trusselsaktører starte hele infektionskæden med minimal brugerinteraktion.
Forskere har knyttet UNC3569 til Kina og tidligere forbundet gruppen med både cyberkriminalitet og aktiviteter som hyret aktør.
Angrebet kombinerer tre sikkerhedssvagheder
UNC3569 kombinerer tre svagheder i Sogou Input Method. Disse omfatter injektion af kommandolinjeargumenter, ubegrænset webview-navigation og en forældet Chromium-browser uden sandbox-beskyttelse.
Først klikker offeret på et ondsindet link, der bruger Sogous brugerdefinerede sgbiz: URI-skema. Windows starter derefter den legitime biz_helper.exe-protokolhåndtering.
Håndteringen videresender angriberkontrollerede kommandolinjeargumenter til den legitime SGMyInput.exe-applikation uden at validere dem. Derfor kan angribere åbne Sogous skin-center og kontrollere dens indlejrede Chromium-webview.
Derefter dirigerer de injicerede argumenter webviewet til et websted, der kontrolleres af angriberen. Sogou begrænsede hverken destinationen eller det URL-skema, der blev brugt under dette trin.
Til sidst udnytter det ondsindede websted en kendt sårbarhed i den forældede Chromium 80-motor. Browseren kører uden en sandbox og har vigtige webbeskyttelser deaktiveret. Som følge heraf opnår udnyttelsen kodekørsel og installerer GrayRabbit-malware.
GrayRabbit-bagdøren får nye funktioner
Sikkerhedsforskere har tidligere beskrevet GrayRabbit som en modulær malwarefamilie forbundet med UNC3569. Den prøve, der blev analyseret i den seneste kampagne, virker dog mere moden end tidligere versioner.
Den nye 64-bit-variant indeholder et udvidet kommandosæt. Den beskytter også sin command-and-control-konfiguration med RC4-kodning.
GrayRabbit-malware kan køre processer og åbne interaktive reverse shells. Derudover kan den uploade eller downloade filer og indsamle oplysninger om offerets system og brugerkonto.
Bagdøren kan også indlæse yderligere plugins direkte i computerens hukommelse. Denne teknik hjælper angribere med at udvide dens funktionalitet, samtidig med at spor, der skrives til lageret, begrænses.
Tencent udsender sikkerhedsopdatering
Gen Threat Labs rapporterede sårbarheden til Tencent den 9. april. Virksomheden rettede den derefter i Sogou Input Method version 16.3.0.3498, der blev udgivet den 21. april.
Opdateringen validerer URL-argumenter, der sendes gennem den brugerdefinerede protokolhåndtering. Den tillader også kun HTTPS-forbindelser og begrænser navigationen til godkendte Sogou- og Tencent-domæner.
Brugere bør derfor straks installere version 16.3.0.3498 eller en nyere version. Organisationer bør også undersøge uventede starter af Sogous protokolhåndtering og forbindelser til ukendte websteder.
Opdateringen løser dog ikke alle problemer. Forskere advarede om, at applikationen stadig bruger en forældet Chromium-motor uden sandboxing. Derudover fortsætter browseren med at fungere med flere vigtige websikkerhedsbeskyttelser deaktiveret.
0 svar til “Hackere udnytter Tencent Sogou-sårbarhed til at sprede GrayRabbit-malware”