Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili aktywnie wykorzystywaną podatność zdalnego wykonania kodu w aplikacji Sogou Input Method dla systemu Windows. Luka oznaczona jako CVE-2026-51990 miała umożliwiać uruchomienie złośliwego kodu po kliknięciu spreparowanego odnośnika, a w obserwowanych incydentach była wykorzystywana do wdrożenia backdoora GrayRabbit.
Sprawa jest istotna nie tylko ze względu na samą podatność, ale również dlatego, że pokazuje ryzyko wynikające z łączenia kilku słabości w jednym produkcie desktopowym. W tym przypadku problem dotyczył niestandardowego handlera protokołu, osadzonego komponentu przeglądarkowego oraz przestarzałego silnika renderującego treści webowe.
W skrócie
- Podatność dotyczyła mechanizmu obsługi protokołu
sgbiz:w Sogou Input Method. - Łańcuch ataku wykorzystywał brak walidacji argumentów, słabą kontrolę nawigacji webview oraz stary silnik Chromium.
- Efektem było zdalne wykonanie kodu i instalacja malware GrayRabbit.
- Backdoor wiązany jest z aktywnością grupy UNC3569.
- Producent udostępnił poprawkę w wersji 16.3.0.3498.
Kontekst / historia
Sogou Input Method należy do szeroko używanych narzędzi do wprowadzania znaków chińskich w środowisku Windows. Tego typu aplikacje bywają atrakcyjnym celem dla napastników, ponieważ działają na stacjach końcowych, są zintegrowane z codzienną pracą użytkownika i często zawierają dodatkowe komponenty sieciowe, aktualizacyjne lub webowe.
W analizowanym przypadku badacze połączyli kampanię z aktorem UNC3569, funkcjonującym w ekosystemie operacji ukierunkowanych na środowiska chińskojęzyczne. Sam GrayRabbit nie jest nowym zagrożeniem, lecz rozpoznawalną rodziną modułowego malware używaną w wcześniejszych kampaniach. Opisany wariant miał oferować architekturę 64-bitową, bardziej rozbudowany zestaw poleceń oraz zakodowaną konfigurację serwera C2.
Analiza techniczna
Łańcuch ataku składał się z trzech kolejnych etapów. Pierwszy obejmował wykorzystanie niestandardowego URI sgbiz:. Po kliknięciu specjalnie przygotowanego odnośnika system uruchamiał skojarzony handler aplikacji, który przekazywał kontrolowane przez napastnika argumenty do dalszego procesu bez odpowiedniej walidacji.
W drugim kroku atakujący wymuszał uruchomienie komponentu odpowiedzialnego za ładowanie treści webowych i kierował osadzoną kontrolkę webview do zewnętrznego zasobu. Brak skutecznych ograniczeń dotyczących schematu URL oraz listy dozwolonych lokalizacji pozwalał na załadowanie strony kontrolowanej przez przeciwnika.
Trzeci etap był kluczowy z perspektywy skuteczności ataku. Osadzona przeglądarka opierała się na przestarzałym Chromium 80 i działała bez sandboxa. Dodatkowo część mechanizmów bezpieczeństwa typowych dla nowoczesnego środowiska przeglądarkowego była wyłączona, co znacząco obniżało próg wykorzystania błędu i umożliwiało przejście od podatności aplikacyjnej do praktycznego RCE.
Po uzyskaniu wykonania kodu wdrażany był GrayRabbit. Malware zapewniał funkcje typowe dla lekkiego, operacyjnego backdoora, w tym uruchamianie procesów, reverse shell, transfer plików, zbieranie informacji o systemie i użytkowniku oraz refleksyjne ładowanie kolejnych modułów bezpośrednio do pamięci.
Konsekwencje / ryzyko
Incydent pokazuje, że realne zagrożenie często nie wynika z pojedynczej luki, lecz z możliwości połączenia kilku błędów projektowych i implementacyjnych. Nawet jeśli każdy z nich z osobna wydaje się ograniczony, ich zestawienie może prowadzić do pełnego przejęcia stacji roboczej.
- uzyskanie trwałego dostępu do punktu końcowego,
- kradzież danych i informacji o użytkowniku,
- doładowanie kolejnych modułów malware w pamięci,
- wykorzystanie zainfekowanego hosta do ruchu bocznego,
- utrudnioną detekcję przez użycie legalnej aplikacji jako nośnika wykonania.
Warto również zwrócić uwagę na aspekt architektoniczny. Choć producent usunął część bezpośrednich przyczyn ataku, sam fakt używania starego silnika przeglądarkowego bez izolacji procesów wskazuje na głębszy problem bezpieczeństwa, który może skutkować kolejnymi podatnościami w przyszłości.
Rekomendacje
Organizacje korzystające z Sogou Input Method powinny w pierwszej kolejności zweryfikować wersję aplikacji i doprowadzić do aktualizacji co najmniej do wydania 16.3.0.3498 lub nowszego. W środowiskach zarządzanych centralnie warto przeprowadzić pełną inwentaryzację tego oprogramowania, ponieważ może ono pozostawać poza standardowym zakresem monitorowania aplikacji krytycznych.
- monitorować uruchomienia handlera
sgbiz:oraz procesów potomnych powiązanych zbiz_helper.exeiSGMyInput.exe, - wykrywać nietypowe argumenty wiersza poleceń przekazywane do komponentów Sogou,
- analizować połączenia sieciowe inicjowane przez osadzony webview do nietypowych domen i adresów,
- prowadzić polowanie na artefakty GrayRabbit i moduły ładowane refleksyjnie do pamięci,
- ograniczać możliwość uruchamiania niestandardowych protokołów URI,
- przeprowadzić przegląd aplikacji wykorzystujących osadzone silniki przeglądarkowe bez nowoczesnych mechanizmów sandboxingu.
Z perspektywy SOC i zespołów IR cenne może być także rozszerzenie telemetrii EDR o korelację zdarzeń obejmujących kliknięcie odnośnika, aktywację niestandardowego protokołu, start procesu aplikacji użytkowej, otwarcie webview oraz szybkie wykonanie procesu potomnego. Taki wzorzec może pomóc w wykrywaniu podobnych exploit chainów także w innych aplikacjach desktopowych.
Podsumowanie
Przypadek Sogou Input Method pokazuje, jak niebezpieczne mogą być błędy architektoniczne w aplikacjach desktopowych łączących lokalne komponenty z treściami webowymi. W opisywanym scenariuszu połączenie niezweryfikowanego handlera protokołu, zbyt swobodnej nawigacji w webview oraz przestarzałego Chromium bez sandboxa stworzyło skuteczny wektor zdalnego wykonania kodu wykorzystywany do instalacji GrayRabbit.
Dla obrońców najważniejsze wnioski są trzy: szybkie łatanie, pełna widoczność niestandardowych mechanizmów URI oraz regularny audyt aplikacji osadzających silniki przeglądarkowe. To właśnie na styku tych warstw coraz częściej powstają nowoczesne łańcuchy ataku.