Źródło: unsplash.com/photos/C5pXRFEjq3w
Napastnicy powiązani z grupą cyberszpiegowską sprzyjającą Chinom wykorzystują krytyczną lukę w aplikacji Sogou Input Method dla systemu Windows. Według badaczy Gen Digital podatność, oznaczona jako CVE-2026-51990, była aktywnie wykorzystywana do instalowania backdoora GrayRabbit. Atak mógł rozpocząć się od jednego kliknięcia przygotowanego odnośnika.
Sogou Input Method to aplikacja umożliwiająca wpisywanie chińskich znaków za pomocą standardowej klawiatury. Program oferuje także własny mechanizm obsługi odnośników oraz wbudowaną przeglądarkę opartą na przestarzałym silniku Chromium. Według informacji przytoczonych przez Gen Threat Labs aplikacja ma setki milionów instalacji w Chinach, dlatego podatność w jej komponentach mogła zapewnić napastnikom dostęp do dużej grupy potencjalnych celów.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia.
Sandbox to model rozgrywki, w którym gracz otrzymuje dużą swobodę wyboru działań, kolejności zadań lub sposobu rozwijania świata gry.
Zestaw serwerów, usług i mechanizmów, za pomocą których operator zdalnie przekazuje polecenia zainfekowanym urządzeniom oraz odbiera od nich informacje.
Brak komentarzy. Bądź pierwszy!
Gen Threat Labs opisało atak jako połączenie trzech słabości w aplikacji. Po kliknięciu przygotowanego odnośnika system Windows uruchamiał komponent odpowiedzialny za obsługę niestandardowego mechanizmu adresów. Komponent przekazywał dalej parametry kontrolowane przez napastnika, a aplikacja otwierała własny moduł oraz wbudowaną przeglądarkę. Program nie ograniczał odpowiednio adresów, do których można było przejść. W ostatnim etapie napastnicy wykorzystywali błąd w przestarzałym silniku Chromium 80. Przeglądarka działała bez sandboxu, a część zabezpieczeń przeglądarkowych była wyłączona, co ułatwiało osiągnięcie wykonania kodu i instalację malware.
Badacze łączą GrayRabbit z grupą UNC3569. Google opisywał tę rodzinę malware już w 2024 roku, wskazując na jej związek z chińskim aktorem działającym zarówno w obszarze cyberszpiegostwa, jak i usług oferowanych przez wykonawców ataków. Analizowana przez Gen Digital próbka była bardziej rozwiniętym wariantem 64-bitowym. Miała rozszerzony zestaw poleceń oraz konfigurację kanału C2 kodowaną przy użyciu RC4.
Po zainstalowaniu GrayRabbit może wykonywać procesy, otwierać interaktywną powłokę zwrotną, przesyłać i pobierać pliki oraz zbierać informacje o systemie i użytkowniku. Malware obsługuje również refleksyjne ładowanie dodatkowych wtyczek bezpośrednio do pamięci procesu. Taki zestaw funkcji daje operatorom możliwość dalszego rozpoznania środowiska, utrzymania komunikacji z zainfekowanym urządzeniem i wykonywania kolejnych działań po początkowym przełamaniu zabezpieczeń.
Gen Threat Labs przekazało informacje o podatności firmie Tencent 9 kwietnia. Producent udostępnił poprawkę 21 kwietnia w wersji Sogou Input Method 16.3.0.3498. Aktualizacja sprawdza parametry przyjmowane przez mechanizm obsługi odnośników, dopuszcza wyłącznie połączenia HTTPS i ogranicza nawigację do zatwierdzonych domen związanych z Sogou oraz Tencent.
Badacze zaznaczyli jednak, że sama poprawka nie usuwa wszystkich problemów związanych z wbudowaną przeglądarką. Jej silnik nadal jest przestarzały, komponent wciąż działa bez sandboxu, a część zabezpieczeń internetowych pozostaje wyłączona. Użytkownicy korzystający z Sogou Input Method powinni sprawdzić wersję programu i zainstalować wydanie 16.3.0.3498 lub nowsze, jeśli jest dostępne. Organizacje powinny także traktować nietypowe odnośniki i aplikacje z własnymi komponentami przeglądarkowymi jako element wymagający dodatkowej kontroli.