Schwachstelle in Tencent Sogou Input für Codeausführung auf Systemebene per Klick ausgenutzt

Ein mit China verbundener Akteur hat eine kritische Schwachstelle in Tencent’s Sogou Input Method für Windows ausgenutzt, um die Backdoor GrayRabbit einzuschleusen. Für den Angriff muss ein Opfer auf einen speziell präparierten sgbiz://-Link klicken. Anschließend ermöglichen mehrere Schwachstellen gemeinsam die Ausführung von Code auf Systemebene.

Die als CVE-2026-51990 geführte Schwachstelle betrifft Software, die Berichten zufolge von Hunderten Millionen Nutzern installiert ist. Tencent hat mit Sogou Input Method 16.3.0.3498 ein Update bereitgestellt. Nach Angaben von Forschern ist der veraltete und absichtlich in seinen Funktionen eingeschränkte integrierte Browser des Produkts jedoch unverändert geblieben.

Benutzerdefiniertes Protokoll macht aus einem Link einen Ausführungspfad

Sogou Input Method ist ein chinesischsprachiger Eingabemethoden-Editor für Windows. Die Architektur umfasst mehrere ausführbare Dateien, die über das benutzerdefinierte Protokoll sgbiz miteinander kommunizieren.

Die zentrale Komponente dieses Angriffs ist biz_helper.exe. Windows ruft diesen Protokoll-Handler auf, wenn ein Nutzer eine sgbiz://-URL öffnet. Die ausführbare Datei verarbeitet den Link und leitet anschließend Anweisungen an die zuständige Sogou-Komponente weiter.

Laut den von Gen Threat Labs veröffentlichten Erkenntnissen validierte biz_helper.exe den param-Parameter der URL nicht ausreichend. Dieses Feld steuert die Befehlszeilenargumente, die an eine ausgewählte ausführbare Datei übergeben werden.

Ein Angreifer konnte daher schädliche Argumente in einen präparierten Protokolllink einfügen. Nach dem Anklicken wurde der Link in Sogous vertrauenswürdigen Anwendungsablauf übernommen, anstatt als gewöhnlicher Browserinhalt behandelt zu werden.

Der Angriff beruhte nicht auf einem einzelnen Programmierfehler. Er verkettete drei Schwachstellen:

1. Befehlszeilenargument-Injection: Der Protokoll-Handler akzeptierte nicht validierte Daten aus dem param-Parameter.
2. Uneingeschränkte Navigation: Die eingeschleusten Argumente konnten eine skincenter-Seite angeben, die von einer anderen Sogou-Komponente kopiert und geöffnet wurde.
3. Ein unsicherer integrierter Browser: Der daraus resultierende Inhalt wurde in einer veralteten, nicht von einer Sandbox isolierten Chromium-Implementierung ausgeführt, bei der mehrere Browser-Schutzmechanismen deaktiviert waren.

Durch diese Abfolge wurde aus einer einzigen Nutzerinteraktion ein Weg zur Ausführung nativen Codes. Der genaue Bereich der betroffenen Versionen wurde nicht veröffentlicht.

Chromium 80 verschärfte die Schwachstelle im Protokoll-Handler

Der integrierte Browser basiert auf einer Chromium-80-Version, die im März 2020 veröffentlicht wurde. Berichten zufolge fehlen ihm die Sicherheitsupdates von ungefähr sechs darauffolgenden Jahren.

Das Alter war jedoch nicht das einzige Problem. Die Sandbox der integrierten Implementierung war vollständig deaktiviert. Damit entfiel eine wichtige Isolationsgrenze, die verhindern soll, dass kompromittierte Webinhalte auf das Betriebssystem zugreifen.

Auch weitere Schutzmechanismen fehlten. Berichten zufolge war die Durchsetzung der Same-Origin-Policy deaktiviert, und URLs konnten auf andere lokale Dateien zugreifen. Dadurch erhielt von Angreifern kontrollierter Inhalt erheblich mehr Zugriffsmöglichkeiten, als er sie in einem normal konfigurierten modernen Browser gehabt hätte.

Die Exploit-Kette nutzte die Argument-Injection, um eine Sogou-Komponente dazu zu bringen, vom Angreifer ausgewählte Inhalte als skincenter-Seite zu laden. Diese Inhalte wurden anschließend innerhalb der geschwächten Chromium-Umgebung ausgeführt. Die deaktivierte Sandbox und die gelockerten Sicherheitsbeschränkungen ermöglichten dabei die abschließende Kompromittierung auf Systemebene.

Dieser Aufbau ist für die Bewertung des Patches entscheidend. Tencent hat den direkten Pfad über URL-haltige Schalter korrigiert, der integrierte Browser bleibt jedoch eine potenziell gefährliche Angriffsfläche. Eine andere Möglichkeit, schädliche Inhalte in diese Komponente einzuspeisen, könnte dieselben fehlenden Sicherheitsgrenzen ausnutzen.

In den veröffentlichten NVD-Informationen sind weder ein CVSS-Score noch ein CVSS-Vektor oder eine CWE-Klassifizierung verfügbar. Die Einstufung von CVE-2026-51990 als kritisch beruht daher auf den beobachteten Auswirkungen und nicht auf einem veröffentlichten NVD-Score.

UNC3569 nutzte die Schwachstelle zur Installation von GrayRabbit

Der Exploit wurde UNC3569 zugeschrieben, einer mit China verbundenen Bedrohungsgruppe, die möglicherweise Verbindungen zum chinesischen privaten Auftragnehmer i-SOON unterhält. Diese Zuordnung ist weiterhin ein möglicher Zusammenhang und keine bestätigte Identität.

UNC3569 hat Berichten zufolge Organisationen aus den Bereichen Regierung, Bildung, Technologie und Finanzen angegriffen, indem Schwachstellen in weit verbreiteter Software ausgenutzt wurden. In dieser Kampagne erhielten die Opfer präparierte sgbiz-Links; ein einziger Klick genügte, um die Angriffskette zu aktivieren.

Über welche Kanäle die Links zugestellt wurden, ist nicht bekannt. In der Praxis können Links zu benutzerdefinierten Protokollen in Inhalten wie Nachrichten, E-Mails oder Dokumenten auftauchen. Dadurch sind Installationen auf Windows-Endgeräten für allgemeine Zwecke einem breiten Risiko ausgesetzt.

Bei erfolgreicher Ausnutzung wurde GrayRabbit installiert, eine Backdoor, die bei Eindringversuchen von UNC3569 seit mindestens 2021 beobachtet wurde. Zu den berichteten Funktionen gehören:

• Öffnen einer Reverse Shell;
• Starten von Prozessen auf dem kompromittierten Host;
• Laden zusätzlicher Plugins;
• Senden von Daten an eine interaktive Shell;
• Hochladen von Dateien an Command-and-Control-Infrastrukturen;
• Erfassen von Systeminformationen;
• Selbstständiges Beenden.

Diese Funktionen ermöglichen einem Angreifer die interaktive Kontrolle und bieten eine Grundlage, um einen Angriff durch zusätzliche Module zu erweitern. Die Prozessausführung und Dateiübertragung von GrayRabbit könnten die Verteilung weiterer Malware oder den Datendiebstahl unterstützen. Diese Folgeaktivitäten wurden in der gemeldeten Kampagne jedoch nicht ausdrücklich bestätigt.

Gen Threat Labs meldete die Schwachstelle am 9. April an Tencent. Die genauen Zeitpunkte der beobachteten Angriffe wurden nicht veröffentlicht.

Tencent schloss den Link-Handler, nicht die Browserarchitektur

Tencent behob CVE-2026-51990 in Sogou Input Method 16.3.0.3498. Das Unternehmen verteilte diese Version über die automatische Update-Funktion des Produkts.

Das Update ergänzt eine Prüfung auf URL-haltige Schalter im Protokoll-Handler und blockiert damit die bekannte Methode, vom Angreifer ausgewählte Navigationen in den Sogou-Ablauf einzuschleusen.

Organisationen sollten nicht davon ausgehen, dass jedes Endgerät das Update erhalten hat. Geräte, die offline waren, auf denen die Update-Dienste nicht funktionieren oder die restriktiven Netzwerkvorgaben unterliegen, können weiterhin eine gefährdete Version ausführen. Administratoren sollten die installierte Version direkt überprüfen.

Die behobene Version beseitigt nicht alle Bedingungen, die den Exploit ermöglichten. Am 10. September waren die zugrunde liegende Chromium-Version und die Browserkonfiguration Berichten zufolge weiterhin unverändert. Die integrierte Umgebung verfügte nach wie vor weder über eine Sandbox noch über andere übliche Browser-Schutzmechanismen.

Version 16.3.0.3498 schließt daher den gemeldeten Pfad über den Protokoll-Handler, beseitigt aber nicht das umfassendere architektonische Risiko. Organisationen, die Sogou Input Method nicht benötigen, sollten eine Deinstallation in Betracht ziehen. Wo dies nicht praktikabel ist, können die Isolierung betroffener Systeme oder die Einschränkung der Verarbeitung benutzerdefinierter Protokolle das Risiko verringern.

Verteidiger sollten von Sogou ausgehende Prozessketten untersuchen

Die unmittelbare Priorität besteht darin, Windows-Endgeräte mit Sogou Input Method zu inventarisieren und zu bestätigen, dass jede Installation auf 16.3.0.3498 oder höher aktualisiert ist. Die genau von CVE-2026-51990 betroffenen älteren Versionen sind nicht bekannt. Daher sollten Verteidiger die behobene Version als überprüfbare Mindestanforderung zugrunde legen.

Sicherheitsteams sollten außerdem Folgendes überwachen:

• Unerwartete Aufrufe von biz_helper.exe;
• Ungewöhnliche oder stark kodierte Argumente, die an diese ausführbare Datei übergeben werden;
• skincenter-Navigation zu nicht vertrauenswürdigen oder unbekannten Zielen;
• Von Sogou-Komponenten gestartete untergeordnete Prozesse;
• Zugriffe auf lokale Dateien aus dem integrierten Sogou-Browser;
• Reverse-Shell-Datenverkehr oder nicht erklärbare interaktive Befehlsausführung;
• Das Laden von Plugins und die Erfassung von Systeminformationen im Zusammenhang mit GrayRabbit;
• Das Hochladen von Dateien an nicht erkannte externe Infrastrukturen.

Organisationen können nicht angeforderte sgbiz-Links blockieren oder einschränken, sofern die betrieblichen Anforderungen dies zulassen. E-Mail-Gateways, Endgerätekontrollen und Systeme zur Absicherung von Messaging sollten das Schema als ausführbaren Auslöser für eine Anwendung behandeln und nicht als gewöhnliche Webadresse.

Einschränkungen des ausgehenden Netzwerkverkehrs können die Fähigkeit einer erfolgreich installierten Backdoor zusätzlich begrenzen, Command-and-Control-Server zu erreichen. Es wurden keine spezifischen Netzwerkindikatoren für GrayRabbit veröffentlicht. Daher ist eine verhaltensbasierte Erkennung besonders relevant.

KEV-Status und verbleibende Lücken bei der Veröffentlichung

Die verfügbaren NVD-Informationen führen den Bezeichner CVE-2026-51990, enthalten jedoch weder einen Bereich betroffener Versionen noch CVSS-Daten oder eine CWE-Kategorie.

Außerdem geht daraus nicht hervor, ob die Schwachstelle im Katalog der Known Exploited Vulnerabilities der US-amerikanischen Cybersecurity and Infrastructure Security Agency enthalten ist. Nach den verfügbaren Informationen sind weder ein Datum für die Aufnahme in KEV noch eine Frist für die Behebung durch Bundesbehörden bekannt.

Ebenso liegen nicht genügend Informationen vor, um diesen Vorfall in eine Serie kürzlich in KEV aufgenommener Schwachstellen von Tencent einzuordnen. Bestätigt ist die aktive Ausnutzung, über die Sicherheitsforscher berichtet haben. Das macht eine Behebung unabhängig vom Katalogstatus dringend.

Der Patch blockiert die beobachtete Ein-Klick-Kette. Die unveränderte Browser-Engine stellt jedoch weiterhin ein Produktrisiko dar, das sich allein durch ein Update nicht vollständig beseitigen lässt.