Sfruttata una falla di Tencent Sogou Input per eseguire codice a livello di sistema con un solo clic

Un attore informatico legato alla Cina ha sfruttato una vulnerabilità critica di Tencent Sogou Input Method per Windows per distribuire la backdoor GrayRabbit. L’attacco richiede che la vittima faccia clic su un link sgbiz:// appositamente creato, dopodiché diverse debolezze si combinano per consentire l’esecuzione di codice a livello di sistema.

Identificata come CVE-2026-51990, la falla interessa un software che, secondo quanto riferito, è installato da centinaia di milioni di utenti. Tencent ha distribuito una correzione in Sogou Input Method 16.3.0.3498, ma i ricercatori affermano che il browser integrato, obsoleto e deliberatamente indebolito, non è stato modificato.

Un protocollo personalizzato trasforma un link in una via per l’esecuzione

Sogou Input Method è un input method editor in lingua cinese per Windows. La sua architettura comprende diversi eseguibili che comunicano tramite lo schema di protocollo personalizzato sgbiz.

Il componente centrale di questo attacco è biz_helper.exe. Windows richiama questo gestore di protocollo quando l’utente apre un URL sgbiz:// e l’eseguibile analizza il link prima di inoltrare le istruzioni al componente Sogou appropriato.

Secondo i risultati riportati da Gen Threat Labs, biz_helper.exe non convalidava adeguatamente il parametro param dell’URL. Questo campo controlla gli argomenti della riga di comando passati a un eseguibile selezionato.

Un attaccante poteva quindi inserire argomenti dannosi in un link di protocollo creato ad hoc. Una volta aperto, il link entrava nel flusso di lavoro delle applicazioni affidabili di Sogou invece di rimanere un normale contenuto del browser.

L’attacco non dipendeva da un singolo errore di programmazione. Sfruttava in concatenazione tre debolezze:

1. Iniezione di argomenti della riga di comando: il gestore di protocollo accettava dati non convalidati dal parametro param.
2. Navigazione senza restrizioni: gli argomenti iniettati potevano specificare una pagina skincenter, che un altro componente Sogou copiava e apriva.
3. Browser integrato non sicuro: il contenuto risultante veniva eseguito all’interno di un’implementazione obsoleta di Chromium, priva di sandbox e con diverse protezioni del browser rimosse.

Questa sequenza trasformava una singola interazione dell’utente in un percorso verso l’esecuzione di codice nativo. L’intervallo esatto delle versioni vulnerabili non è stato divulgato.

Chromium 80 ha amplificato il difetto del gestore di protocollo

Il browser integrato è basato su una versione di Chromium 80 rilasciata nel marzo 2020. Secondo quanto riferito, non include circa sei anni di successivi aggiornamenti di sicurezza del browser.

L’età non era l’unico problema. La sandbox dell’implementazione integrata era completamente disabilitata, rimuovendo un importante confine di contenimento progettato per impedire ai contenuti web compromessi di raggiungere il sistema operativo.

Mancavano anche altre protezioni. Secondo quanto riferito, la configurazione disabilitava l’applicazione della same-origin policy e consentiva agli URL di accedere ad altri file locali. Queste modifiche davano ai contenuti controllati dall’attaccante una portata molto maggiore rispetto a quella che avrebbero avuto all’interno di un browser moderno configurato normalmente.

La catena di exploit utilizzava l’iniezione di argomenti per fare in modo che un componente Sogou caricasse contenuti scelti dall’attaccante come pagina skincenter. Il contenuto veniva quindi eseguito nell’ambiente Chromium indebolito, dove la sandbox disabilitata e le restrizioni di sicurezza allentate consentivano la compromissione finale a livello di sistema.

Questo aspetto è importante per valutare la patch. Tencent ha corretto il percorso diretto che coinvolgeva gli switch contenenti URL, ma il browser integrato rimane una superficie di attacco potenzialmente pericolosa. Un altro modo per alimentare quel componente con contenuti ostili potrebbe esporre gli stessi confini di sicurezza mancanti.

Nelle informazioni NVD disponibili non sono presenti un punteggio CVSS, un vettore CVSS o una classificazione CWE. Definire critica CVE-2026-51990 riflette quindi l’impatto osservato, non un punteggio NVD divulgato.

UNC3569 ha sfruttato la falla per installare GrayRabbit

Lo sfruttamento è stato attribuito a UNC3569, un gruppo di minacce legato alla Cina che potrebbe avere rapporti con l’appaltatore privato cinese i-SOON. Tale associazione rimane un possibile collegamento e non un’identità confermata.

Secondo quanto riferito, UNC3569 ha preso di mira organizzazioni governative, del settore dell’istruzione, tecnologiche e finanziarie sfruttando vulnerabilità presenti in software ampiamente utilizzati. In questa campagna, le vittime ricevevano link sgbiz creati ad hoc e un solo clic era sufficiente per attivare la catena.

I canali specifici utilizzati per distribuire i link non sono stati divulgati. In pratica, i link con protocolli personalizzati possono comparire in contenuti come messaggi, email o documenti, rendendo le installazioni sui sistemi Windows a uso generale una fonte ampia di esposizione.

Lo sfruttamento riuscito installava GrayRabbit, una backdoor osservata nelle intrusioni di UNC3569 almeno dal 2021. Le funzionalità segnalate includono:

• Apertura di una reverse shell;
• Avvio di processi sull’host compromesso;
• Caricamento di plugin aggiuntivi;
• Invio di dati a una shell interattiva;
• Caricamento di file sull’infrastruttura di comando e controllo;
• Raccolta di informazioni sul sistema;
• Terminazione autonoma.

Queste funzioni offrono all’operatore il controllo interattivo e un meccanismo per estendere l’intrusione con moduli aggiuntivi. Le funzionalità di esecuzione dei processi e trasferimento dei file di GrayRabbit potrebbero supportare la distribuzione di altro malware o il furto di dati, sebbene tali azioni successive non siano state confermate specificamente nella campagna descritta.

Gen Threat Labs ha segnalato la vulnerabilità a Tencent il 9 aprile. Le date esatte degli attacchi osservati non sono state rese pubbliche.

Tencent ha corretto il gestore dei link, non l’architettura del browser

Tencent ha risolto CVE-2026-51990 in Sogou Input Method 16.3.0.3498. L’azienda ha distribuito la versione tramite il meccanismo di aggiornamento automatico del prodotto.

L’aggiornamento ha aggiunto un controllo sugli switch contenenti URL nel gestore di protocollo, bloccando il metodo noto per iniettare nella procedura Sogou una navigazione scelta dall’attaccante.

Le organizzazioni non dovrebbero presumere che ogni endpoint abbia ricevuto l’aggiornamento. I dispositivi offline, con servizi di aggiornamento non funzionanti o soggetti a policy di rete restrittive potrebbero eseguire ancora una build esposta. Gli amministratori dovrebbero verificare direttamente la versione installata.

La release corretta non risolve tutte le condizioni che hanno reso efficace l’exploit. Al 10 settembre, secondo quanto riferito, la versione sottostante di Chromium e la configurazione del browser non erano cambiate. L’ambiente integrato continuava a essere privo di sandbox e di altre protezioni standard del browser.

Di conseguenza, la versione 16.3.0.3498 chiude il percorso del gestore di protocollo descritto, ma non elimina il rischio architetturale più ampio. Le organizzazioni che non hanno bisogno di Sogou Input Method dovrebbero valutare la possibilità di rimuoverlo. Quando la rimozione non è praticabile, isolare i sistemi interessati o limitare la gestione dei protocolli personalizzati può ridurre l’esposizione.

I difensori dovrebbero esaminare le catene di processi originate da Sogou

La priorità immediata è censire gli endpoint Windows che eseguono Sogou Input Method e verificare che ogni installazione utilizzi la versione 16.3.0.3498 o successive. Le versioni precedenti esatte interessate da CVE-2026-51990 non sono note; i difensori dovrebbero quindi utilizzare la build corretta come baseline minima verificabile.

I team di sicurezza dovrebbero inoltre monitorare:

• Invocazioni impreviste di biz_helper.exe;
• Argomenti insoliti o fortemente codificati passati all’eseguibile;
• Navigazioni skincenter verso posizioni non attendibili o sconosciute;
• Processi figlio avviati dai componenti Sogou;
• Accessi a file locali originati dal browser Sogou integrato;
• Traffico di reverse shell o esecuzione interattiva di comandi senza spiegazione;
• Caricamento di plugin e raccolta di informazioni sul sistema associate a GrayRabbit;
• Caricamenti di file verso infrastrutture esterne non riconosciute.

Le organizzazioni possono bloccare o limitare i link sgbiz non richiesti, quando i requisiti operativi lo consentono. I gateway email, i controlli degli endpoint e i sistemi di sicurezza per la messaggistica dovrebbero trattare lo schema come un trigger per l’esecuzione di un’applicazione, non come un normale indirizzo web.

Le restrizioni sul traffico in uscita possono limitare ulteriormente la capacità di una backdoor riuscita di raggiungere i server di comando e controllo. Non sono stati divulgati indicatori di rete specifici di GrayRabbit, quindi il rilevamento basato sul comportamento è particolarmente importante.

Stato KEV e lacune informative ancora da colmare

Le informazioni NVD disponibili riportano l’identificativo CVE-2026-51990, ma non forniscono l’intervallo delle versioni interessate, i dati CVSS o una categoria CWE.

Inoltre, non stabiliscono se la vulnerabilità compaia nel catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency degli Stati Uniti. Sulla base delle informazioni disponibili, non sono note né una data di inserimento nel catalogo KEV né una scadenza per la correzione da parte delle agenzie federali.

Mancano inoltre informazioni sufficienti per collocare questo incidente all’interno di una serie di recenti vulnerabilità di Tencent aggiunte al catalogo KEV. Ciò che è confermato è lo sfruttamento attivo segnalato dai ricercatori di sicurezza, che rende urgente la correzione indipendentemente dalla presenza nel catalogo.

La patch blocca la catena osservata, attivabile con un solo clic. Il motore del browser, tuttavia, è rimasto invariato e lascia i difensori esposti a un rischio residuo del prodotto che il solo aggiornamento non affronta completamente.