UNC3569 a exploité Sogou Input Method pour installer la porte dérobée GRAYRABBIT

Selon une étude publiée par Gen Digital, un groupe malveillant lié à la Chine, suivi sous le nom d’UNC3569, a exploité la version Windows de Sogou Input Method pour exécuter du code et déployer la porte dérobée GRAYRABBIT.

L’intrusion a commencé par l’envoi d’un lien spécialement conçu, par e-mail ou via une messagerie instantanée. Une fois ouvert, ce lien exploitait le protocole Windows personnalisé de Sogou pour charger une page contrôlée par l’attaquant dans un navigateur obsolète basé sur Chromium et intégré à l’application.

Tencent, qui possède et développe Sogou, a corrigé le chemin de navigation concerné au moyen d’une mise à jour automatique vers la version 16.3.0.3498. Toutefois, l’application corrigée contient toujours Chromium 80, avec son bac à sable désactivé et ses mécanismes de sécurité web supprimés.

Un protocole Sogou personnalisé exposait des arguments contrôlés par l’attaquant

Sogou Input Method pour Windows utilise plusieurs processus qui communiquent via le schéma d’URL personnalisé sgbiz:. Windows transmet les liens utilisant ce schéma à biz_helper.exe, qui détermine quel composant de Sogou doit être exécuté.

Le gestionnaire vérifiait que le composant demandé était légitime, mais ne validait pas les arguments de ligne de commande qui lui étaient transmis. Un attaquant pouvait donc sélectionner un exécutable Sogou de confiance tout en contrôlant des paramètres qui influençaient son comportement.

Le lien observé lançait SGMyInput.exe, le composant de configuration de l’application, et redirigeait son écran de boutique de thèmes vers une adresse externe. Cet écran était particulièrement intéressant, car il s’agissait de la seule partie de l’interface de configuration à ouvrir une fenêtre de navigateur.

Sogou acceptait la destination fournie sans vérifier qu’elle appartenait à un domaine autorisé. L’attaquant pouvait ainsi afficher une page d’exploitation dans le navigateur intégré de Sogou plutôt que dans un navigateur système entièrement à jour.

Gen suit cette vulnérabilité liée au traitement des liens sous le nom de CVE-2026-51990. La liste complète des versions de Sogou concernées n’a pas été publiée, et ni Gen ni Tencent n’ont documenté de procédure permettant de vérifier la version installée localement.

Gen a signalé la vulnérabilité à Tencent le 9 avril 2026. L’entreprise a répondu le lendemain et a confirmé le 21 avril 2026 que la correction était terminée.

Chromium 80 transformait une page spécialement conçue en exécution de code sur l’hôte

La page d’exploitation contenait du JavaScript ciblant CVE-2021-38003, une ancienne vulnérabilité du moteur JavaScript V8 de Chromium. Une gestion incorrecte dans V8 peut provoquer une corruption du tas lorsqu’une victime ouvre une page HTML spécialement conçue.

La faille affecte les versions de Google Chrome antérieures à 95.0.4638.69. Elle présente un score CVSS 3.1 de 8,8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Ce vecteur décrit une exploitation accessible via le réseau, de faible complexité, ne nécessitant aucun privilège préalable mais une interaction de l’utilisateur. Une attaque réussie peut avoir des conséquences importantes sur la confidentialité, l’intégrité et la disponibilité.

Google a corrigé la vulnérabilité dans Chrome 95.0.4638.69, la correction ayant été publiée en octobre 2021. Le navigateur intégré de Sogou reposait sur Chromium 80 et n’avait pas intégré cette correction.

Deux choix de configuration aggravaient l’exposition. Le bac à sable du navigateur était désactivé, supprimant la couche d’isolation normalement placée entre le contenu web affiché et l’hôte. Sogou avait également désactivé la politique de même origine, permettant aux pages de franchir des limites qui séparent habituellement les données appartenant à différentes origines.

Une fois l’exploitation de V8 réussie, la page malveillante pouvait exécuter du code avec les privilèges de l’utilisateur connecté. Aucun échappement supplémentaire du bac à sable n’était nécessaire.

Gen indique qu’un clic sur le lien spécialement conçu suffisait lors de l’intrusion analysée. Tencent a décrit une chaîne plus complexe et affirmé qu’une technique d’ingénierie sociale serait nécessaire pour convaincre l’utilisateur d’autoriser une fenêtre contextuelle du navigateur.

Les navigateurs basés sur Chromium peuvent demander une confirmation avant de transmettre un protocole personnalisé à une application locale. Aucune des deux entreprises n’a documenté l’invite exacte affichée aux victimes ni expliqué si les clients de messagerie et de chat produisaient un comportement différent.

GRAYRABBIT est arrivé par DLL side-loading

Après avoir obtenu la capacité d’exécuter du code, l’exploit lançait un petit téléchargeur qui récupérait trois fichiers depuis une infrastructure hébergée sur Alibaba Cloud à Hong Kong :

• Un exécutable 7-Zip légitime.
• Une DLL malveillante nommée 7z.dll.
• Un fichier chiffré nommé p contenant la charge utile finale.

Le téléchargeur plaçait les trois fichiers dans :

C:\Users\Public\Documents\

L’attaque utilisait ensuite le DLL side-loading. Lorsque le binaire 7-Zip légitime démarrait, il recherchait une DLL dans son répertoire local et chargeait le fichier 7z.dll de l’attaquant. Les paramètres de ligne de commande liés aux archives n’étaient en réalité que des leurres : le lancement de l’exécutable de confiance suffisait à déclencher le code malveillant.

Le chargeur tentait également d’identifier les systèmes d’analyse automatisée. Il comptait les processus en cours d’exécution avant de déchiffrer la charge utile. S’il en trouvait moins de 50, il dérivait délibérément une clé erronée, rendant le malware chiffré inutilisable. Les ordinateurs de bureau classiques dépassent souvent ce seuil, contrairement à certains environnements de bac à sable allégés.

Pour effacer ses traces, le chargeur déplaçait son contenu dans un flux de données alternatif NTFS et marquait le fichier d’origine pour suppression. Les enquêteurs peuvent donc constater que 7z.dll a disparu sans observer d’événement de suppression classique dans les journaux comportementaux.

La charge utile déchiffrée était GRAYRABBIT, une porte dérobée associée à UNC3569. Elle fournit un shell de commande interactif, le transfert de fichiers bidirectionnel et le téléchargement dynamique de modules supplémentaires.

GRAYRABBIT communiquait avec mail.uaiubifas[.]top sur le port TCP 443. La connexion n’utilisait pas TLS ; le malware échangeait à la place du trafic TCP en clair obfusqué par RC4. Des sessions sans TLS sur un port habituellement associé à HTTPS constituent un indicateur utile pour la détection réseau.

L’attribution pointe vers un groupe chinois de type hire-for-hack

Google Threat Intelligence suit UNC3569 depuis 2021 et le situe dans l’écosystème chinois des services de piratage à la demande. Le groupe aurait ciblé des organisations gouvernementales, éducatives, technologiques et financières, principalement en Asie de l’Est et du Sud-Est.

L’attribution de cette campagne à UNC3569, ainsi que son lien avec la Chine, repose sur les rapports de Gen et l’évaluation de Google Threat Intelligence. Elle n’est pas établie par les fiches techniques des CVE.

L’ampleur de Sogou accroît l’exposition potentielle. Une étude de Citizen Lab publiée en 2023 estimait à plus de 455 millions le nombre d’utilisateurs mensuels sur Windows, Android et iOS, soit environ 70 % des utilisateurs chinois de méthodes de saisie. L’étude relevait également une présence internationale, les États-Unis représentant plus de 3,3 % des visites du site web de Sogou.

Ces chiffres couvrent plusieurs systèmes d’exploitation et n’indiquent pas combien d’installations utilisaient une version Windows vulnérable. L’exposition exacte demeure inconnue.

Le correctif bloque le chemin d’attaque, mais laisse l’ancien navigateur intact

Tencent a concentré sa correction dans biz_helper.exe. Le gestionnaire mis à jour identifie les deux arguments capables de transporter des adresses web, exige l’utilisation de HTTPS et limite les destinations aux noms d’hôte se terminant par :

• sogou.com
• qq.com
• woa.com
• sogou

Des contrôles de validation supplémentaires ont également été ajoutés. Ces mesures empêchent un attaquant externe d’utiliser la technique sgbiz: observée pour rediriger directement le navigateur de la boutique de thèmes vers un domaine malveillant arbitraire.

Le risque lié au navigateur demeure toutefois. Gen a constaté que la version 16.3.0.3498 intègre toujours Chromium 80, désactive toujours le bac à sable et continue d’appliquer des options supprimant les protections de sécurité web.

Parmi les 41 vulnérabilités de V8 de Chromium figurant dans le catalogue des vulnérabilités exploitées connues de la CISA, au moins 32 ont été corrigées dans des versions de Chrome plus récentes que le moteur intégré de Sogou. Cela ne permet pas d’établir que chacune est exploitable via Sogou, mais montre à quel point ce composant est en retard sur les versions prises en charge de Chromium.

La CISA a ajouté CVE-2021-38003 au catalogue KEV le 3 novembre 2021, sous le nom « Google Chromium V8 Memory Corruption Vulnerability ». Les agences fédérales américaines avaient jusqu’au 17 novembre 2021 pour appliquer les mesures correctives, avec pour instruction d’installer les mises à jour fournies par les éditeurs.

D’autres vulnérabilités affectant les éditeurs représentés dans les fiches de produits associées ont rejoint KEV au cours des 90 derniers jours : CVE-2026-87491 le 9 septembre 2026, CVE-2026-85046 le 4 septembre 2026 et CVE-2022-0995 le 26 août 2026. Ces entrées concernent Debian, Fedora Project et Google, sans établir l’existence d’autres failles dans Sogou lui-même.

Les défenseurs doivent corriger les systèmes et enquêter séparément

Les utilisateurs de Windows doivent mettre à jour Sogou Input Method vers la version 16.3.0.3498 ou ultérieure au moyen du mécanisme de mise à jour automatique de Tencent. Aucune procédure de vérification manuelle de la version n’ayant été publiée, les administrateurs devront peut-être valider le déploiement à l’aide de leur inventaire des terminaux et de leurs outils de gestion des logiciels.

La mise à jour ferme le chemin d’exploitation du protocole décrit. Elle ne supprime pas GRAYRABBIT d’un système déjà compromis.

Les équipes de réponse à incident doivent rechercher les hachages SHA-256 suivants :

29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63  7z.dll
749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e  p
d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a  core.dll

Les indicateurs réseau pertinents sont mail.uaiubifas[.]top, l’hôte d’exploitation noht1ng[.]top et l’adresse de mise en scène 8.218.50[.]207.

Les investigations doivent également examiner C:\Users\Public\Documents\ à la recherche d’exécutions de 7-Zip, de flux de données alternatifs, de traces de fichiers supprimés et des charges utiles nommées. Les données historiques DNS, proxy, e-mail et messagerie instantanée peuvent révéler le vecteur de distribution, même lorsque le chargeur n’est plus présent.

Enfin, les défenseurs doivent inspecter le trafic du port 443 à la recherche de sessions qui ne négocient pas TLS. Du trafic TCP en clair obfusqué par RC4 à destination du domaine de commande peut révéler l’activité de GRAYRABBIT, qui passerait autrement pour du trafic HTTPS sortant classique si l’on se fie uniquement au numéro de port.