UNC3569 ha sfruttato Sogou Input Method per installare la backdoor GRAYRABBIT

Secondo una ricerca pubblicata da Gen Digital, un gruppo di cybercriminali legato alla Cina, monitorato con il nome UNC3569, ha sfruttato la versione per Windows di Sogou Input Method per eseguire codice e distribuire la backdoor GRAYRABBIT.

L'intrusione è iniziata con un link appositamente creato, inviato via e-mail o chat. Una volta aperto, il link sfruttava il protocollo Windows personalizzato di Sogou per caricare una pagina controllata dall'attaccante all'interno di un browser obsoleto basato su Chromium, incorporato nell'applicazione.

Tencent, proprietaria e sviluppatrice di Sogou, ha chiuso il percorso di navigazione individuato con un aggiornamento automatico alla versione 16.3.0.3498. Tuttavia, l'applicazione corretta contiene ancora Chromium 80, con il sandbox disabilitato e i controlli di sicurezza web rimossi.

Un protocollo Sogou personalizzato esponeva argomenti controllati dall'attaccante

Sogou Input Method per Windows utilizza diversi processi che comunicano tramite lo schema URL personalizzato sgbiz:. Windows passa i link che usano questo schema a biz_helper.exe, che determina quale componente di Sogou debba essere eseguito.

Il gestore verificava che il componente richiesto fosse legittimo, ma non convalidava gli argomenti della riga di comando passati al componente. Un attaccante poteva quindi selezionare un eseguibile Sogou affidabile controllando al contempo i parametri che ne influenzavano il comportamento.

Il link osservato avviava SGMyInput.exe, il componente delle impostazioni dell'applicazione, e indirizzava la schermata del negozio dei temi a un indirizzo esterno. Questa schermata era importante perché rappresentava l'unica parte dell'interfaccia delle impostazioni in grado di aprire una finestra del browser.

Sogou accettava la destinazione fornita senza verificare che appartenesse a un dominio approvato. Di conseguenza, l'attaccante poteva visualizzare una pagina contenente un exploit all'interno del browser incorporato di Sogou, anziché in un browser di sistema completamente aggiornato.

Gen monitora questa vulnerabilità nella gestione dei link con l'identificativo CVE-2026-51990. L'elenco completo delle versioni di Sogou interessate non è stato divulgato e né Gen né Tencent hanno documentato una procedura per verificare la versione installata localmente.

Gen ha segnalato la vulnerabilità a Tencent il 9 aprile 2026. L'azienda ha risposto il giorno successivo e il 21 aprile 2026 ha confermato il completamento della correzione.

Chromium 80 ha trasformato una pagina appositamente creata in un'esecuzione di codice sull'host

La pagina contenente l'exploit includeva codice JavaScript destinato a CVE-2021-38003, una vulnerabilità più datata nel motore JavaScript V8 di Chromium. Una gestione impropria in V8 può causare una corruzione dell'heap quando la vittima apre una pagina HTML appositamente creata.

Il problema interessa le versioni di Google Chrome precedenti alla 95.0.4638.69. Ha un punteggio CVSS 3.1 pari a 8,8, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Il vettore descrive uno sfruttamento accessibile dalla rete, con bassa complessità, senza privilegi preesistenti e con interazione obbligatoria dell'utente. Un attacco riuscito può avere conseguenze elevate in termini di riservatezza, integrità e disponibilità.

Google ha corretto la vulnerabilità in Chrome 95.0.4638.69, con un aggiornamento rilasciato nell'ottobre 2021. Il browser incorporato di Sogou era basato su Chromium 80 e non aveva integrato quella correzione.

Due scelte di configurazione hanno aggravato l'esposizione. Il sandbox del browser era disabilitato, eliminando il livello di isolamento normalmente posto tra i contenuti web visualizzati e l'host. Sogou aveva inoltre disabilitato la same-origin policy, consentendo alle pagine di oltrepassare i confini che normalmente separano i dati appartenenti a origini diverse.

Una volta riuscito l'exploit di V8, la pagina dannosa poteva eseguire codice con i privilegi dell'utente connesso. Non era necessario un ulteriore sandbox escape.

Gen ha dichiarato che, nell'intrusione analizzata, era sufficiente fare clic sul link appositamente creato. Tencent ha descritto la catena come più complessa e ha affermato che sarebbe stata necessaria un'attività di social engineering per convincere l'utente ad autorizzare un pop-up del browser.

I browser basati su Chromium possono chiedere conferma prima di passare un protocollo personalizzato a un'applicazione locale. Nessuna delle due aziende ha documentato il messaggio visualizzato esattamente dalle vittime né spiegato se i client e-mail e chat producessero comportamenti diversi.

GRAYRABBIT è arrivato tramite DLL side-loading

Dopo aver ottenuto l'esecuzione del codice, l'exploit ha avviato un piccolo downloader che ha recuperato tre file da un'infrastruttura ospitata su Alibaba Cloud a Hong Kong:

• Un eseguibile 7-Zip legittimo.
• Una DLL dannosa denominata 7z.dll.
• Un file cifrato denominato p, contenente il payload finale.

Il downloader ha collocato tutti e tre i file in:

C:\Users\Public\Documents\

L'attacco ha quindi utilizzato il DLL side-loading. Quando veniva avviato il binario 7-Zip legittimo, questo cercava nella directory locale e caricava il file 7z.dll dell'attaccante. I parametri della riga di comando relativi agli archivi erano di fatto esche: per attivare il codice dannoso era sufficiente avviare l'eseguibile affidabile.

Il loader tentava inoltre di identificare i sistemi di analisi automatizzata. Prima di decrittografare il payload, contava i processi in esecuzione. Se ne rilevava meno di 50, ricavava deliberatamente la chiave errata, rendendo inutilizzabile il malware cifrato. I normali computer desktop superano comunemente questa soglia, mentre i sandbox ottimizzati potrebbero non farlo.

Per occultare le proprie tracce, il loader spostava i propri contenuti in un flusso di dati alternativo NTFS e contrassegnava il file originale per l'eliminazione. Gli investigatori potrebbero quindi scoprire che 7z.dll è scomparso senza rilevare un evento di eliminazione convenzionale nei log comportamentali.

Il payload decrittografato era GRAYRABBIT, una backdoor associata a UNC3569. Offre una shell dei comandi interattiva, il trasferimento bidirezionale di file e il recupero dinamico di moduli aggiuntivi.

GRAYRABBIT contattava mail.uaiubifas[.]top sulla porta TCP 443. La connessione non utilizzava TLS; il malware scambiava invece traffico TCP in chiaro offuscato con RC4. Le sessioni senza TLS su una porta normalmente associata a HTTPS costituiscono un utile segnale per il rilevamento di rete.

L'attribuzione indica un gruppo cinese di hacker a noleggio

Google Threat Intelligence monitora UNC3569 dal 2021 e lo colloca nell'ecosistema cinese degli hacker a noleggio. Secondo quanto riferito, il gruppo ha preso di mira organizzazioni governative, del settore dell'istruzione, tecnologiche e finanziarie, principalmente nell'Asia orientale e sud-orientale.

L'attribuzione di questa campagna a UNC3569, compreso il collegamento con la Cina, deriva dai report di Gen e dalla valutazione di Google Threat Intelligence. Non è stabilita dai record tecnici delle CVE.

La diffusione di Sogou aumenta il potenziale impatto dell'esposizione. Una ricerca del Citizen Lab pubblicata nel 2023 stimava oltre 455 milioni di utenti mensili complessivi su Windows, Android e iOS, pari a circa il 70% degli utenti cinesi di metodi di input. La ricerca ha inoltre rilevato una presenza internazionale: gli Stati Uniti generavano oltre il 3,3% delle visite al sito web di Sogou.

Queste cifre riguardano diversi sistemi operativi e non indicano quante installazioni eseguissero una versione vulnerabile per Windows. L'esposizione effettiva resta sconosciuta.

La patch blocca il percorso, ma lascia intatto il vecchio browser

Tencent ha concentrato la correzione in biz_helper.exe. Il gestore aggiornato identifica i due argomenti in grado di contenere indirizzi web, richiede HTTPS e limita le destinazioni ai nomi host che terminano con:

• sogou.com
• qq.com
• woa.com
• sogou

Sono stati aggiunti anche ulteriori controlli di convalida. Queste misure impediscono a un attaccante esterno di utilizzare la tecnica sgbiz: osservata per indirizzare direttamente il browser del negozio dei temi verso un dominio dannoso arbitrario.

Il rischio più ampio legato al browser rimane. Gen ha rilevato che la versione 16.3.0.3498 include ancora Chromium 80, continua a disabilitare il sandbox e applica ancora opzioni che rimuovono le protezioni di sicurezza web.

Tra le 41 vulnerabilità di Chromium V8 elencate nel catalogo Known Exploited Vulnerabilities di CISA, almeno 32 sono state corrette in versioni di Chrome più recenti del motore incorporato in Sogou. Questo non dimostra che tutte siano sfruttabili tramite Sogou, ma mostra quanto il componente sia rimasto indietro rispetto alle versioni di Chromium supportate.

CISA ha aggiunto CVE-2021-38003 al catalogo KEV il 3 novembre 2021, con il nome “Google Chromium V8 Memory Corruption Vulnerability”. Le agenzie federali statunitensi avevano come termine per la correzione il 17 novembre 2021, con l'indicazione di applicare gli aggiornamenti del fornitore.

Negli ultimi 90 giorni sono entrate nel catalogo KEV altre vulnerabilità che interessano i fornitori rappresentati nei record dei prodotti correlati: CVE-2026-87491 il 9 settembre 2026, CVE-2026-85046 il 4 settembre 2026 e CVE-2022-0995 il 26 agosto 2026. Queste voci riguardano Debian, Fedora Project e Google e non dimostrano l'esistenza di ulteriori vulnerabilità in Sogou.

I difensori devono applicare la patch e svolgere un'indagine separata

Gli utenti Windows dovrebbero aggiornare Sogou Input Method alla versione 16.3.0.3498 o successiva tramite il meccanismo di aggiornamento automatico di Tencent. Poiché non è stata pubblicata una procedura per verificare manualmente la versione, gli amministratori potrebbero dover verificare la distribuzione tramite gli strumenti di inventario degli endpoint e di gestione del software.

L'aggiornamento chiude il percorso di abuso del protocollo descritto. Non rimuove GRAYRABBIT da un sistema già compromesso.

I responsabili della risposta agli incidenti dovrebbero cercare i seguenti hash SHA-256:

29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63  7z.dll
749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e  p
d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a  core.dll

Gli indicatori di rete rilevanti sono mail.uaiubifas[.]top, l'host dell'exploit noht1ng[.]top e l'indirizzo di staging 8.218.50[.]207.

Le indagini dovrebbero inoltre esaminare C:\Users\Public\Documents\ alla ricerca di esecuzioni di 7-Zip, flussi di dati alternativi, residui di file eliminati e payload con i nomi indicati. I dati storici relativi a DNS, proxy, e-mail e chat potrebbero rivelare la distribuzione anche quando il loader non è più presente.

Infine, i difensori dovrebbero analizzare il traffico sulla porta 443 alla ricerca di sessioni che non negoziano TLS. Il traffico TCP in chiaro offuscato con RC4 verso il dominio di comando potrebbe rivelare l'attività di GRAYRABBIT, che altrimenti, considerando solo il numero della porta, potrebbe sembrare normale traffico HTTPS in uscita.