In questo articolo Indice dei contenuti 2 sezioni
Un gruppo di spionaggio legato alla Cina sta sfruttando una vulnerabilità critica di Sogou Input Method per Windows per installare GrayRabbit, un backdoor modulare già noto agli analisti di sicurezza. Il difetto, identificato come CVE-2026-51990, permette l’esecuzione di codice da remoto con un solo clic, il che significa che basta aprire un link confezionato ad arte per ritrovarsi con il computer compromesso.
A segnalare gli attacchi in corso sono i ricercatori della società di cybersicurezza Gen Digital, che parlano di sfruttamento attivo in the wild da parte del gruppo UNC3569. Il meccanismo è tanto lineare quanto efficace, e sfrutta una catena di tre debolezze presenti nello stesso prodotto.
Vale la pena ricordare cos’è Sogou Input Method: si tratta di un’applicazione per Windows sviluppata dal colosso cinese Tencent che consente di digitare i caratteri cinesi usando una normale tastiera. Non è un software di nicchia, tutt’altro. Secondo le stime disponibili conta centinaia di milioni di installazioni in Cina. Oltre alla funzione principale, il programma integra un gestore di link personalizzato e un browser interno basato su un motore Chromium ormai datato.
Come funziona la catena d’attacco
Tre gli anelli deboli che il gruppo UNC3569 mette in fila. Il primo è un’iniezione di argomenti da riga di comando non validati attraverso l’URI sgbiz. Il secondo è la navigazione libera verso qualsiasi URL all’interno di una webview basata su CEF. Il terzo, forse il più imbarazzante, è un motore browser Chromium vecchio e privo di sandbox.
Tutto parte da un clic su un URI personalizzato sgbiz creato appositamente. A quel punto Windows richiama il gestore di protocollo biz_helper.exe di Sogou, che gira gli argomenti scelti dall’attaccante all’eseguibile legittimo SGMyInput.exe senza controllarli in alcun modo. Gli argomenti iniettati aprono il componente skincenter e ordinano alla webview Chromium incorporata di caricare un indirizzo controllato dall’aggressore. Sogou non impone restrizioni né sullo schema né sulla destinazione dell’URL.
Nella terza fase entra in gioco una pagina malevola che sfrutta una vulnerabilità già conosciuta nel motore Chromium 80 usato dal software. Siccome il browser gira senza sandbox e con diverse protezioni di sicurezza web disattivate, l’exploit riesce a ottenere l’esecuzione di codice e a installare il backdoor.
Cosa sa fare il malware e la patch di Tencent
Nel 2024 alcuni ricercatori di Google avevano descritto GrayRabbit come una famiglia di malware modulare, collegandola proprio a UNC3569, un attore di minaccia con base in Cina che si muove sia nell’ecosistema del crimine informatico sia in quello dei contractor informatici a pagamento.
Il campione analizzato da Gen Threat Labs è però una variante più matura, a 64 bit, con un set di comandi ampliato e una configurazione di comando e controllo codificata in RC4. Le sue capacità comprendono l’esecuzione di processi, l’apertura di reverse shell interattive, il caricamento e lo scaricamento di file, la raccolta di informazioni su sistema e utente, oltre al caricamento riflessivo di plugin direttamente nella memoria dell’host. In pratica, una volta dentro, chi controlla il backdoor ha mano libera.
I ricercatori hanno comunicato le proprie scoperte a Tencent il 9 aprile. L’azienda ha rilasciato una correzione il 21 aprile, con la versione 16.3.0.3498 di Sogou Input Method. La patch introduce la validazione degli URL accettati dal gestore di protocollo, consente soltanto connessioni HTTPS e limita la navigazione a un elenco di domini approvati riconducibili a Sogou e Tencent.
Il problema è che la correzione tampona il punto d’ingresso ma non risolve la questione di fondo. Il motore browser integrato resta vecchio, continua a funzionare senza sandbox e con molte protezioni di sicurezza web disabilitate, come sottolineano gli stessi ricercatori.
Fonte: TecnoAndroid
