中国と関係が深いスパイ活動グループに関連する脅威アクターが、Tencentの「捜狗输入法（Sogou Input Method）」Windows版に存在する深刻な脆弱性(CVE-2026-51990)を悪用し、バックドア「GrayRabbit」を展開していることが分かりました。
サイバーセキュリティ企業Gen Digitalの研究者らは、この脆弱性がワンクリックのリモートコード実行(RCE)を可能にする問題であると警告しています。
「私たちは、脅威グループUNC3569が細工されたリンクを通じてGRAYRABBITバックドアを展開するために、この脆弱性を実環境で悪用しているのを確認しました」とGen Threat Labsは述べています。
Sogou Input Methodは、標準的なキーボードで中国語を入力できるようにする人気のWindowsアプリケーションで、独自のリンクハンドラーや、旧式のChromiumエンジンを使用した内蔵ウェブブラウザも備えています。
中国のテック大手Tencentが開発したSogou Input Methodは、中国国内で数億件のインストール実績があるとされています。
Gen Threat Labsによると、UNC3569はこの製品における3つの脆弱性を連鎖させて悪用しています。
- sgbiz: URIにおける検証されていないコマンドライン引数インジェクション
- CEFベースのウェブビューにおける制限のないURLナビゲーション
- サンドボックス化されていない旧式のChromiumブラウザエンジン
攻撃チェーンは、被害者が細工されたsgbiz:カスタムURIをクリックすることから始まります。これによりWindowsはSogouのプロトコルハンドラーであるbiz_helper.exeを呼び出し、攻撃者が制御するコマンドライン引数を検証しないまま、正規の実行ファイルSGMyInput.exeに渡してしまいます。
攻撃者が注入した引数は、Sogouのskincenterコンポーネントを起動し、その内蔵Chromiumウェブビューに対して攻撃者が制御するURLを読み込むよう指示します。Sogouは、このURLのスキームや接続先を制限していません。
第3段階では、悪意のあるページがSogouの旧式Chromium 80エンジンに存在する既知の脆弱性を悪用します。このブラウザはサンドボックスなしで動作し、重要なウェブセキュリティ保護機能も無効化されているため、この悪用によってコード実行が可能となり、GrayRabbitバックドアがインストールされてしまいます。
2024年、Googleの研究者らはGrayRabbitについて説明し、これをモジュール型マルウェアファミリーと位置づけ、サイバー犯罪と請負型サイバー攻撃の両方のエコシステムで活動する中国拠点の脅威アクターUNC3569との関連を指摘しました。
Gen Threat Labsが解析したマルウェアサンプルは、より成熟した64ビット版で、拡張されたコマンドセットとRC4で符号化されたコマンド&コントロール(C2)設定を備えています。
その機能には、プロセスの実行、対話型リバースシェルの起動、ファイルのアップロードおよびダウンロード、システム情報とユーザー情報の収集、そしてホストのメモリ上でのプラグインのリフレクティブロードが含まれます。
Gen Threat Labsは4月9日にこの調査結果をTencentに報告し、同社は4月21日にリリースされたSogou Input Methodバージョン16.3.0.3498で修正を展開しました。
このパッチでは、プロトコルハンドラーを通じて受け取るURL引数を検証し、HTTPSのみを許可するとともに、ナビゲーション先をSogouおよびTencent関連の承認済みドメインに制限しています。
ただし研究者らは、内蔵ブラウザ自体は依然として旧式のままで、サンドボックスなしで動作し、多くのウェブセキュリティ保護機能が無効化された状態が続いていると警告しています。
