Fallita di Sogou Input Method sfruttata per installare una backdoor

Una vulnerabilità in Sogou Input Method, uno strumento Windows molto diffuso per digitare caratteri cinesi, è stata sfruttata in attacchi reali per installare una backdoor chiamata GRAYRABBIT, secondo una ricerca pubblicata giovedì dalla società di sicurezza Gen Digital. L'azienda ha collegato l'attività a UNC3569, un gruppo di hacker che Google Threat Intelligence collega alla Cina e colloca nella scena degli hacker a noleggio del paese. Google tiene traccia del gruppo dal 2021 e afferma che ha preso di mira i settori governativo, educativo, tecnologico e finanziario, soprattutto in Asia orientale e sud-orientale. L'attacco è iniziato con un link appositamente creato e si è concluso con l'attaccante in grado di fare qualsiasi cosa potesse fare l'utente connesso. Tencent, che possiede e sviluppa Sogou, ha corretto la falla di accesso ad aprile 2026.

Sogou Input Method è il metodo di input cinese più popolare in Cina, con oltre 455 milioni di utenti mensili su Windows, Android e iOS, secondo una ricerca del 2023 del Citizen Lab dell'Università di Toronto. Quella ricerca attribuiva alla sua quota di utenti di metodi di input cinesi circa il 70 percento, e citava ricerche di mercato che mostravano che gli Stati Uniti rappresentavano più del 3,3 percento delle visite al sito web del prodotto. La stessa ricerca aveva precedentemente trovato difetti di crittografia nell'app che esponevano ciò che le persone digitavano. La nuova falla è nella versione Windows, che non è un singolo programma ma un insieme di componenti che comunicano attraverso un tipo di link personalizzato registrato come sgbiz:.

Quando qualcosa apre un link sgbiz: su Windows, il sistema operativo lo passa a biz_helper.exe, un componente che legge il link e avvia il componente Sogou indicato. Quel gestore controlla quale programma il link chiede di avviare, ma secondo Gen non esegue alcun filtraggio sugli argomenti della riga di comando che il link può passare. Un attaccante ha sfruttato questa lacuna per indirizzare SGMyInput.exe, il programma delle impostazioni di Sogou, verso lo skin store con un indirizzo web scelto dall'attaccante. Lo skin store è l'unica schermata in quel programma che apre una finestra del browser, e il codice invia quel browser a qualsiasi indirizzo gli venga fornito, senza alcun controllo sull'indirizzo.

Quel browser è dove si trova il terzo problema. Sogou costruisce la propria copia di Chromium, il motore open source dietro Google Chrome, e la versione che distribuisce è la 80, di circa marzo 2020. Gen ha scoperto che due delle protezioni del browser sono disattivate nel codice: la sandbox, che normalmente tiene una pagina web compromessa lontana dal resto del computer, e la same-origin policy, che impedisce a una pagina di leggere dati da altri siti. Con la sandbox rimossa, una falla JavaScript nella pagina diventa codice che viene eseguito sul computer dell'utente con i privilegi dell'utente stesso, e non c'è un secondo passaggio per uscire dal browser. Gen afferma che è bastato cliccare sul link. Tencent non è d'accordo. In una risposta citata nella ricerca, Tencent ha descritto la catena come relativamente complessa e ha affermato che un attaccante avrebbe bisogno di ingegneria sociale per indurre l'utente ad 'autorizzare attivamente il prompt pop-up del browser'. I browser basati su Chromium mostrano una casella di conferma prima di passare un link a un programma separato sul computer, e un utente può spuntare una casella per smettere di vederla per un dato sito. Nessuna delle due aziende dice cosa hanno visto le persone in questa campagna. Gen afferma che il link potrebbe anche arrivare via email o messaggio di chat, e nessuno dei due resoconti dice cosa vede un utente quando un link viene aperto in quel modo.

La pagina a cui sono state inviate le vittime conteneva un exploit per CVE-2021-38003, una falla nel modo in cui V8, il motore JavaScript di Chrome, gestiva JSON.stringify. Permetteva a un valore interno che gli script non dovrebbero mai vedere di fuoriuscire nella pagina, e da lì un attaccante poteva corrompere la memoria ed eseguire codice. Google l'ha corretta in Chrome 95 nell'ottobre 2021, e CISA l'ha aggiunta al suo catalogo di vulnerabilità note per essere state sfruttate il 3 novembre 2021. L'azienda singaporiana STAR Labs ha pubblicato un'analisi completa e il codice di exploit funzionante nel dicembre 2022. La build Chromium di Sogou non ha mai ricevuto quella correzione, né la maggior parte delle altre. Delle 41 falle Chromium V8 nel catalogo di CISA, almeno 32 sono state corrette in versioni di Chrome uscite dopo la versione che Sogou distribuisce, secondo un controllo di The Hacker News contro il record CVE di ciascuna falla. Questo è un conteggio delle falle, non un conteggio dei modi per entrare in Sogou. Se una qualsiasi di esse possa essere raggiunta attraverso la finestra dello skin store dipende da cosa la pagina può toccare al suo interno, e nessuno ha pubblicato quel lavoro.

L'exploit trasportava un piccolo downloader. Gen ha tracciato che scaricava tre file da un server su Alibaba Cloud a Hong Kong: una copia legittima di 7-Zip, una DLL malevola e un file crittografato contenente il payload finale. Tutti e tre sono finiti in C:\Users\Public\Documents. La DLL malevola è stata salvata con il nome 7z.dll, che 7-Zip carica dalla propria cartella all'avvio, quindi eseguire 7-Zip caricava il codice dell'attaccante invece. Il comando di archiviazione eseguito dagli attaccanti era privo di significato; il suo unico compito era avviare 7-Zip. Prima di decrittare qualsiasi cosa, la DLL conta i processi in esecuzione sul computer. Se ne trova meno di 50, costruisce la chiave sbagliata e il payload diventa spazzatura. I sistemi automatizzati di analisi malware tendono a eseguire pochi processi, mentre i desktop reali no. La DLL poi si cancella spostando il proprio contenuto in un NTFS alternate data stream, una parte nascosta del record del file, e contrassegnando il file per la cancellazione, così il file lascia il disco senza alcuna chiamata di eliminazione nei log di comportamento. Ciò che lascia dietro è GRAYRABBIT, una backdoor che raggiunge il suo server su mail.uaiubifas[.]top sulla porta 443. Il traffico lì è TCP in chiaro cifrato con RC4 invece che TLS. La porta 443 tipicamente trasporta traffico TLS crittografato, quindi il traffico non TLS su quella porta vale la pena di essere monitorato. GRAYRABBIT fornisce una shell di comandi remota, consente di spostare file in entrambe le direzioni e può caricare moduli aggiuntivi dal server dell'attaccante in qualsiasi momento. Google lo descrive come il primo passo del gruppo su una macchina, ed è stato usato per anni.

Gen ha segnalato la falla a Tencent il 9 aprile 2026, ed è tracciata come CVE-2026-51990. Tencent ha risposto il giorno successivo e ha confermato il 21 aprile che una correzione era completa e sarebbe stata distribuita a tutti gli utenti tramite un aggiornamento automatico nella versione 16.3.0.3498, dodici giorni dopo la segnalazione. L'intera correzione risiede in biz_helper.exe. Ora cerca i due argomenti che trasportano indirizzi web, rifiuta tutto ciò che non è HTTPS e controlla il nome host rispetto a quattro finali consentiti: sogou.com, qq.com, woa.com e sogou. Gen afferma che ulteriori controlli sono stati aggiunti dopo. Il motore del browser non è stato toccato. Nei file corretti esaminati da Gen, l'impostazione della sandbox è ancora disattivata, il flag di sicurezza web è ancora scritto nel codice e gli stessi interruttori sono ancora applicati. Il motore è ancora Chromium 80. Ciò che è cambiato è che un estraneo non può più indirizzarlo verso un indirizzo di propria scelta tramite il gestore dei link. Gen ha affermato che quei componenti necessitano di ulteriore lavoro.

Gli utenti dovrebbero aggiornare Sogou Input Method. La correzione è nella versione 16.3.0.3498, che secondo Gen Tencent ha distribuito a tutti gli utenti tramite aggiornamento automatico il 21 aprile 2026. Due cose mancano dal registro pubblico: né Gen né Tencent hanno detto quali versioni fossero interessate, e nessuno dei due spiega come controllare la versione installata su una macchina. Se una macchina potrebbe essere stata raggiunta prima della correzione, cercare gli indicatori di seguito. Il loader si cancella, quindi la DLL malevola potrebbe non essere più sul disco. Nessuna fonte dice se installare la correzione rimuova una backdoor già in esecuzione.

Gen ha pubblicato i seguenti indicatori:
SHA-256 29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63, loader DLL malevolo scritto su disco come 7z.dll
SHA-256 749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e, file payload crittografato denominato p
SHA-256 d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a, backdoor GRAYRABBIT con nome interno core.dll
Dominio mail.uaiubifas[.]top, server di comando della backdoor sulla porta 443
Dominio noht1ng[.]top, ospitava la pagina dell'exploit
IP 8.218.50[.]207, server di staging su Alibaba Cloud Hong Kong
Percorso C:\Users\Public\Documents\, dove sono stati scritti i tre file

Per le organizzazioni che gestiscono flotte di dispositivi Windows, rivedere i componenti di metodi di input di terze parti e i livelli di patch è ora un passo di hardening sensato; AEU-I offre consulenza IT e infrastrutturale security-first proprio per questo tipo di audit degli endpoint.