Хакерска група, свързана с Китай, се възползва от уязвимост в Sogou Input Method, един от най-широко използваните инструменти за писане на китайски йероглифи за Windows, за да инсталира задна врата (backdoor) на компютрите на жертвите, съобщи компанията за киберсигурност Gen Digital в изследване, публикувано в четвъртък.

Атаката започва със специално изработен линк и завършва с това, че атакуващият придобива възможност да извършва всичко, което влезлият в системата потребител може да прави. Tencent, която притежава и разработва Sogou, отстрани уязвимостта през април 2026 г.

Gen откри уязвимостта, докато разследваше активно проникване от страна на UNC3569 — група, която Google Threat Intelligence свързва с Китай и поставя в сферата на наемните хакери в страната. Google проследява групата от 2021 г. и заявява, че тя е насочвала атаките си срещу секторите на държавното управление, образованието, технологиите и финансите, основно в Източна и Югоизточна Азия.

Инсталираната задна врата е GRAYRABBIT — малка програма, която групата използва от години и която Google описва като нейна първа стъпка към дадена машина. Тя дава на атакуващия отдалечен команден шел (command shell), позволява двупосочно прехвърляне на файлове и може да зарежда допълнителни модули от сървъра на атакуващия по всяко време.

Корекцията за сигурност от Tencent блокира пътя за проникване. Тя обаче не промени частта от Sogou, която направи атаката възможна. В коригираната версия, разгледана от Gen, вграденият браузърен енджин все още е версията от 2020 г., а неговата изолирана среда (sandbox) все още е изключена.

Как един линк стига до машината

Sogou Input Method е най-популярният метод за въвеждане на китайски език в Китай, според изследване от 2023 г. на Citizen Lab към Университета в Торонто.

Това изследване определя потребителската му база на повече от 455 милиона души месечно за Windows, Android и iOS, а делът му сред потребителите на китайски методи за въвеждане е около 70%. Позовавайки се на пазарни проучвания за посещенията на уебсайта на продукта, то отбелязва също, че потребителите не са само в Китай, като на Съединените щати се падат над 3,3% от посещенията.

Същото изследване откри уязвимости в криптирането на приложението, които разкриват какво са въвеждали потребителите.

Уязвимостта, открита от Gen, е във версията за Windows. Sogou Input Method не е една единична программа там. Тя представлява набор от компоненти, които комуникират помежду си чрез потребителски тип връзка (link type), регистриран във Windows: sgbiz:. Когато нещо отвори sgbiz: връзка, Windows я предава на biz_helper.exe, който прочита връзката и стартира посочения от нея компонент на Sogou.

Този механизъм за обработка (handler) проверява кое приложение иска да стартира връзката. Той обаче не проверява аргументите на командния ред, които връзката иска да предаде. Gen не откри никаква филтрация върху тях.

Затова атакуващият е избрал аргументите. Линкът е сочил към SGMyInput.exe, програмата за настройки на Sogou, и е подал команда да се отвори магазинът за теми (skin store) с уеб адрес по избор на атакуващия.

Магазинът за теми е единственият екран в тази програма, който отваря прозорец на браузъра. Кодът изпраща този браузър до какъвто и да е адрес, който му бъде подаден, без никаква проверка на адреса.

Този браузър е мястото, където се намира третият проблем. Sogou създава своя собствена компилация на Chromium, която е версия 80, от около март 2020 г.

Gen установи, че две от защитите на браузъра са изключени и са кодирани по този начин в самия код: изолираната среда (sandbox), която обикновено държи компрометираната уеб страница далеч от останалата част на компютъра, и политиката за един и същ произход (same-origin policy), която спира дадена страница да чете данни от други сайтове.

С премахването на изолираната среда, уязвимост в JavaScript на страницата се превръща в код, който се изпълнява на компютъра на потребителя с правата на самия потребител. Няма втора стъпка за излизане от браузъра.

Gen твърди, че кликването върху линка е било всичко, което е било необходимо. Tencent не е напълно съгласна с това. В отговор, цитиран в изследването, Tencent описва веригата като сравнително сложна и заявява, че на атакуващия ще е необходимо социално инженерство, за да накара потребителя „активно да упълномощи изскачащия подканващ прозорец на браузъра“.

Браузърите, базирани на Chromium, показват прозорец за потвърждение, преди да предадат линк към отделна програма на компютъра, и потребителят може да постави отметка в квадратчето, за да спре да го вижда за даден сайт. Нито една от двете компании не съобщава какво са видели хората в тази кампания. Gen отбелязва, че линкът може да пристигне и по имейл или чрез съобщение в чат, а нито един от докладите не описва какво вижда потребителят, когато даден линк бъде отворен по този начин.

Защо грешка в браузър от 2021 г. все още работи

Страницата, към която са били пренасочвани жертвите, съдържа експлойт за CVE-2021-38003 — уязвимост в начина, по който V8 (JavaScript енджинът на Chrome) обработва JSON.stringify. Тя е позволявала на вътрешна стойност, която скриптовете никога не трябва да виждат, да се извлече в страницата, и оттам атакуващият е можел да поврежда паметта и да изпълнява код.

Google отстрани тази уязвимост в Chrome 95 през октомври 2021 г. CISA я добави към своя каталог с уязвимости, за които е известно, че са били експлоатирани, на 3 ноември 2021 г. Сингапурската фирма STAR Labs публикува пълен анализ и работещ код за експлойт през декември 2022 г.

Версията на Chromium на Sogou така и не получи тази корекция за сигурност. Тя не получи и повечето от останалите.

От 41 уязвимости в Chromium V8 в каталога на CISA, поне 32 са били отстранени в издания на Chrome, излезли след версията, която Sogou предоставя. The Hacker News сравни досието на всяка CVE уязвимост с тази версия.

Това е брой уязвимости, а не брой начини за проникване в Sogou. Дали някоя от тях може да бъде достигната през прозореца на магазина за теми зависи от това до какво има достъп страницата вътре в него, но никой не е публикувал подобно изследване.

Какво е качено на машината

Експлойтът е съдържал малък модул за изтегляне (downloader). Gen проследява изтеглянето на три файла от сървър на Alibaba Cloud в Хонконг: легитимно копие на 7-Zip, злонамерена DLL библиотека и криптиран файл, съдържащ крайния злонамерен код.

И трите файла са записани в C:\Users\Public\Documents. Злонамерената DLL библиотека е запазена под името, което 7-Zip зарежда от собствената си папка при стартиране, така че пускането на 7-Zip е заредило кода на атакуващия вместо оригиналния.

Командата за архивиране, която атакуващите са изпълнили, е била безсмислена. Единствената ѝ задача е била да стартира 7-Zip.

DLL библиотеката преброява процесите, работещи на компютъра, преди да декриптира каквото и да било. Ако открие по-малко от 50 процеса, тя генерира грешен ключ и инжектираният код се превръща в неизползваеми данни.

Автоматизираните системи за анализ на зловреден софтуер обикновено изпълняват малък брой процеси. При реалните настолни компютри това не е така.

След това тя се изтрива самa. Gen я открива да премества собственото си съдържание в алтернативен поток от данни на NTFS (NTFS alternate data stream) — скрита част от файловия запис, след което маркира файла за изтриване. Файлът изчезва от диска без заявка за изтриване в логовете за поведението.

Това, което остава след него, е GRAYRABBIT. Задната врата се свързва със своя сървър на mail.uaiubifas[.]top на порт 443, като трафикът там е обикновен TCP, кодиран с RC4, а не TLS. Порт 443 обикновено пренася TLS трафик, така че не-TLS трафикът на този порт заслужава наблюдение.

Какво коригира Tencent и какво остави

Gen съобщи за уязвимостта на Tencent на 9 април 2026 г. и тя се проследява като CVE-2026-51990.

Tencent отговори на следващия ден и потвърди на 21 април, че отстраняването е завършено и ще бъде разпространено до всички потребители чрез автоматична актуализация във версия 16.3.0.3498. Това отне 12 дни.

Цялата корекция за сигурност е в biz_helper.exe. Сега той търси двата аргумента, които съдържат уеб адреси, отхвърля всичко, което не е HTTPS, и проверява името на хоста спрямо четири позволени завършека: sogou.com, qq.com, woa.com и sogou. Gen казва, че след това са били добавени още проверки.

Браузърният двигател не е бил засегнат. В анализираните от Gen актуализирани файлове настройката за изолирана среда все още е изключена, флагът за уеб сигурност все още е записан в кода и се прилагат същите превключватели.

Двигателят все още е Chromium 80. Промяната е, че външно лице вече не може да го насочва към адрес по свой избор чрез манипулатора на връзки. Gen посочва, че тези компоненти се нуждаят от допълнителна работа.

Какво да направите

Обновете Sogou Input Method. Корекцията за сигурност е във версия 16.3.0.3498, която според Gen Tencent е доставила до всички потребители чрез автоматично обновяване на 21 април 2026 г.

Две неща липсват в публичния запис. Нито Gen, нито Tencent са посочили кои версии са били засегнати и никой от тях не обяснява как да се провери инсталираната версия на дадена машина.

Ако до дадена машина е можело да бъде достигнат достъп преди корекцията за сигурност, потърсете индикаторите по-долу. Зареждащата програма се изтрива сама, така че зловредната DLL библиотека може вече да не е на диска. Никой източник не посочва дали инсталирането на корекцията отстранява задна врата (backdoor), която вече се изпълнява.

Gen публикува следните индикатори.

  • SHA-256 29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63 зловредна зареждаща DLL библиотека, записана на диска като 7z.dll
  • SHA-256 749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e криптиран файл със зловреден код, с име p
  • SHA-256 d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a GRAYRABBIT задна врата, вътрешно име core.dll
  • Domain mail.uaiubifas[.]top сървър за управление на задната врата, порт 443
  • Domain noht1ng[.]top хостваше страницата с експлойта
  • IP 8.218.50[.]207 междинен сървър (staging server), Alibaba Cloud Hong Kong
  • Path C:\Users\Public\Documents\ където са били записани трите файла