UNC3569 missbrauchte Sogou Input Method zur Installation der GRAYRABBIT-Backdoor

Eine mit China in Verbindung stehende Bedrohungsgruppe, die als UNC3569 verfolgt wird, missbrauchte die Windows-Version von Sogou Input Method, um Code auszuführen und die GRAYRABBIT-Backdoor einzuschleusen. Das geht aus einer von Gen Digital veröffentlichten Analyse hervor.

Der Angriff begann mit einem manipulierten Link, der per E-Mail oder Chat versendet wurde. Nach dem Öffnen missbrauchte der Link das benutzerdefinierte Windows-Protokoll von Sogou, um eine von den Angreifern kontrollierte Seite in einem veralteten, in die Anwendung eingebetteten Chromium-basierten Browser zu laden.

Tencent, das Sogou besitzt und entwickelt, schloss den identifizierten Navigationspfad mit einem automatischen Update auf Version 16.3.0.3498. Die aktualisierte Anwendung enthält jedoch weiterhin Chromium 80, dessen Sandbox deaktiviert ist und bei dem die Websicherheitskontrollen entfernt wurden.

Benutzerdefiniertes Sogou-Protokoll legte von Angreifern kontrollierte Argumente offen

Sogou Input Method für Windows verwendet mehrere Prozesse, die über das benutzerdefinierte URL-Schema sgbiz: kommunizieren. Windows übergibt Links mit diesem Schema an biz_helper.exe, das festlegt, welche Sogou-Komponente ausgeführt werden soll.

Der Handler prüfte zwar, ob die angeforderte Komponente legitim war, validierte jedoch nicht die an sie übergebenen Befehlszeilenargumente. Ein Angreifer konnte daher eine vertrauenswürdige Sogou-Executable auswählen und zugleich Parameter kontrollieren, die deren Verhalten beeinflussten.

Der beobachtete Link startete SGMyInput.exe, die Komponente für die Anwendungseinstellungen, und leitete deren Skin-Store-Ansicht an eine externe Adresse weiter. Diese Ansicht war relevant, weil nur dieser Teil der Einstellungsoberfläche ein Browserfenster öffnete.

Sogou akzeptierte das angegebene Ziel, ohne zu prüfen, ob es zu einer freigegebenen Domain gehörte. Der Angreifer konnte somit eine Exploit-Seite im eingebetteten Sogou-Browser darstellen, statt sie in einem vollständig aktualisierten Systembrowser zu öffnen.

Gen führt diese Schwachstelle bei der Linkverarbeitung als CVE-2026-51990. Die vollständige Liste der betroffenen Sogou-Versionen wurde nicht veröffentlicht. Weder Gen noch Tencent haben ein Verfahren dokumentiert, mit dem sich die lokal installierte Version überprüfen lässt.

Gen meldete die Schwachstelle am 9. April 2026 an Tencent. Das Unternehmen antwortete am folgenden Tag und bestätigte am 21. April 2026, dass die Behebung abgeschlossen war.

Chromium 80 machte aus einer manipulierten Seite eine Codeausführung auf dem Host

Die Exploit-Seite enthielt JavaScript, das auf CVE-2021-38003 abzielte, eine ältere Schwachstelle in der V8-JavaScript-Engine von Chromium. Eine fehlerhafte Verarbeitung in V8 kann zu einer Heap-Korruption führen, wenn ein Opfer eine speziell präparierte HTML-Seite öffnet.

Die Schwachstelle betrifft Google-Chrome-Versionen vor 95.0.4638.69. Sie hat einen CVSS-3.1-Wert von 8,8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Der Vektor beschreibt einen über das Netzwerk erreichbaren Angriff mit geringer Komplexität, ohne erforderliche vorherige Berechtigungen, aber mit notwendiger Benutzerinteraktion. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit in hohem Maße beeinträchtigen.

Google behob die Schwachstelle in Chrome 95.0.4638.69; die Korrektur wurde im Oktober 2021 veröffentlicht. Der eingebettete Browser von Sogou basierte auf Chromium 80 und enthielt diese Behebung nicht.

Zwei Konfigurationsentscheidungen verschärften das Risiko. Die Browser-Sandbox war deaktiviert, wodurch die normalerweise zwischen gerenderten Webinhalten und dem Host liegende Isolationsschicht entfiel. Außerdem hatte Sogou die Same-Origin-Policy deaktiviert, sodass Seiten Grenzen überschreiten konnten, die normalerweise Daten verschiedener Ursprünge voneinander trennen.

Nach erfolgreicher Ausnutzung der V8-Schwachstelle konnte die schädliche Seite Code mit den Berechtigungen des angemeldeten Benutzers ausführen. Ein separater Sandbox-Escape war nicht erforderlich.

Gen zufolge genügte es bei dem untersuchten Angriff, den manipulierten Link anzuklicken. Tencent beschrieb die Angriffskette als komplexer und erklärte, dass Social Engineering erforderlich sei, um den Benutzer zur Freigabe eines Browser-Pop-ups zu bewegen.

Chromium-basierte Browser können eine Bestätigung verlangen, bevor sie ein benutzerdefiniertes Protokoll an eine lokale Anwendung übergeben. Keines der beiden Unternehmen dokumentierte den genauen Hinweis, der den Opfern angezeigt wurde, oder erläuterte, ob sich E-Mail- und Chat-Clients unterschiedlich verhielten.

GRAYRABBIT kam per DLL-Side-Loading

Nach der Codeausführung startete der Exploit einen kleinen Downloader, der drei Dateien aus einer auf Alibaba Cloud in Hongkong gehosteten Infrastruktur abrief:

• Eine legitime 7-Zip-Executable.
• Eine schädliche DLL mit dem Namen 7z.dll.
• Eine verschlüsselte Datei namens p, die die endgültige Payload enthielt.

Der Downloader legte alle drei Dateien hier ab:

C:\Users\Public\Documents\

Anschließend nutzte der Angriff DLL-Side-Loading. Beim Start suchte die legitime 7-Zip-Binärdatei in ihrem lokalen Verzeichnis und lud die 7z.dll der Angreifer. Die Befehlszeilenparameter für die Archivverarbeitung waren im Wesentlichen nur Tarnung; bereits der Start der vertrauenswürdigen Executable genügte, um den schädlichen Code auszuführen.

Der Loader versuchte außerdem, automatisierte Analysesysteme zu erkennen. Vor der Entschlüsselung der Payload zählte er die laufenden Prozesse. Fand er weniger als 50, leitete er absichtlich den falschen Schlüssel ab, wodurch die verschlüsselte Malware unbrauchbar blieb. Normale Desktop-Systeme überschreiten diesen Schwellenwert häufig, schlanke Sandboxes möglicherweise nicht.

Um seine Spuren zu verwischen, verschob der Loader seine Inhalte in einen alternativen NTFS-Datenstrom und markierte die ursprüngliche Datei zur Löschung. Ermittler können daher feststellen, dass 7z.dll verschwunden ist, ohne in Verhaltensprotokollen ein herkömmliches Löschereignis zu sehen.

Bei der entschlüsselten Payload handelte es sich um GRAYRABBIT, eine mit UNC3569 verbundene Backdoor. Sie bietet eine interaktive Befehls-Shell, bidirektionale Dateiübertragung und das dynamische Nachladen zusätzlicher Module.

GRAYRABBIT kontaktierte mail.uaiubifas[.]top über den TCP-Port 443. Die Verbindung nutzte kein TLS; stattdessen tauschte die Malware mit RC4 verschleierten Klartext-TCP-Datenverkehr aus. Nicht per TLS geschützte Sitzungen auf einem normalerweise HTTPS zugeordneten Port liefern ein nützliches Signal für die Netzwerkerkennung.

Attribution deutet auf eine mit China verbundene Hacker-for-Hire-Gruppe hin

Google Threat Intelligence verfolgt UNC3569 seit 2021 und ordnet die Gruppe Chinas Hacker-for-Hire-Ökosystem zu. Berichten zufolge zielte die Gruppe auf Organisationen aus den Bereichen Regierung, Bildung, Technologie und Finanzen, vor allem in Ost- und Südostasien.

Die Zuordnung dieser Kampagne zu UNC3569 einschließlich der Verbindung zu China beruht auf der Berichterstattung von Gen und der Einschätzung von Google Threat Intelligence. Sie wird nicht durch die technischen CVE-Einträge belegt.

Die Verbreitung von Sogou erhöht das potenzielle Ausmaß der Gefährdung. Eine im Jahr 2023 veröffentlichte Untersuchung des Citizen Lab schätzte die Zahl der monatlichen Benutzer unter Windows, Android und iOS auf mehr als 455 Millionen. Das entspreche etwa 70 % der chinesischen Nutzer von Eingabemethoden. Die Untersuchung stellte außerdem eine internationale Verbreitung fest: Mehr als 3,3 % der Besuche auf der Sogou-Website kamen aus den Vereinigten Staaten.

Diese Zahlen umfassen mehrere Betriebssysteme und zeigen nicht, wie viele Installationen eine verwundbare Windows-Version nutzten. Das genaue Ausmaß der Gefährdung bleibt daher unbekannt.

Der Patch blockiert den Angriffsweg, lässt den alten Browser aber intakt

Tencent konzentrierte die Korrektur auf biz_helper.exe. Der aktualisierte Handler erkennt die beiden Argumente, die Webadressen enthalten können, verlangt HTTPS und beschränkt die Ziele auf Hostnamen, die auf einen der folgenden Werte enden:

• sogou.com
• qq.com
• woa.com
• sogou

Zusätzlich wurde eine Validierung eingebaut. Dadurch wird verhindert, dass ein externer Angreifer die beobachtete sgbiz:-Technik verwendet, um den Skin-Store-Browser direkt zu einer beliebigen schädlichen Domain zu leiten.

Das grundsätzliche Browserrisiko besteht jedoch weiter. Gen stellte fest, dass Version 16.3.0.3498 weiterhin Chromium 80 ausliefert, die Sandbox weiterhin deaktiviert und nach wie vor Schalter verwendet, die Websicherheitsschutzmaßnahmen entfernen.

Von den 41 Chromium-V8-Schwachstellen, die im CISA-Katalog der Known Exploited Vulnerabilities aufgeführt sind, wurden mindestens 32 in Chrome-Versionen behoben, die neuer als die eingebettete Engine von Sogou sind. Daraus folgt nicht, dass jede dieser Schwachstellen über Sogou erreichbar ist. Es zeigt jedoch, wie weit die Komponente hinter unterstützten Chromium-Versionen zurückliegt.

CISA nahm CVE-2021-38003 am 3. November 2021 unter der Bezeichnung „Google Chromium V8 Memory Corruption Vulnerability“ in den KEV-Katalog auf. US-Bundesbehörden mussten die Behebung bis zum 17. November 2021 umsetzen und dabei die Updates des Herstellers installieren.

Weitere Schwachstellen, die Anbieter aus dem in verwandten Produktdatensätzen vertretenen Kreis betreffen, wurden in den vergangenen 90 Tagen in den KEV-Katalog aufgenommen: CVE-2026-87491 am 9. September 2026, CVE-2026-85046 am 4. September 2026 und CVE-2022-0995 am 26. August 2026. Diese Einträge betreffen Debian, Fedora Project und Google und belegen keine zusätzlichen Schwachstellen in Sogou selbst.

Verteidiger sollten patchen und unabhängig davon ermitteln

Windows-Benutzer sollten Sogou Input Method über den automatischen Update-Mechanismus von Tencent auf 16.3.0.3498 oder höher aktualisieren. Da kein Verfahren zur manuellen Versionsprüfung veröffentlicht wurde, müssen Administratoren die Verteilung möglicherweise über ihr Endpoint-Inventar und ihre Tools für das Softwaremanagement überprüfen.

Das Update schließt den offengelegten Angriffsweg über den Protokollmissbrauch. Es entfernt GRAYRABBIT jedoch nicht von einem System, das bereits kompromittiert wurde.

Incident-Responder sollten nach den folgenden SHA-256-Hashes suchen:

29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63  7z.dll
749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e  p
d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a  core.dll

Relevante Netzwerkindikatoren sind mail.uaiubifas[.]top, der Exploit-Host noht1ng[.]top und die Staging-Adresse 8.218.50[.]207.

Bei Untersuchungen sollte außerdem C:\Users\Public\Documents\ auf 7-Zip-Ausführungen, alternative Datenströme, Überreste gelöschter Dateien und die genannten Payloads geprüft werden. Historische DNS-, Proxy-, E-Mail- und Chat-Telemetrie kann die Zustellung sichtbar machen, selbst wenn der Loader nicht mehr vorhanden ist.

Abschließend sollten Verteidiger den Datenverkehr auf Port 443 auf Sitzungen untersuchen, in denen keine TLS-Aushandlung stattfindet. RC4-verschlüsselter Klartext-TCP-Verkehr zur Command-Domain kann GRAYRABBIT-Aktivitäten aufdecken, die andernfalls allein aufgrund der Portnummer wie gewöhnlicher ausgehender HTTPS-Verkehr erscheinen würden.