CVE-2026-51990 v Sogou Input Method poslúžila na nasadenie backdooru GRAYRABBIT

Výskumníci Gen Digital popísali reálne zneužitie zraniteľnosti v Sogou Input Method pre Windows. Útok po kliknutí na škodlivý odkaz umožnil spustiť kód v kontexte používateľa.

Zraniteľnosť CVE-2026-51990 v Sogou Input Method pre Windows bola podľa analýzy Gen Digital zneužitá pri reálnom incidente na nasadenie backdooru GRAYRABBIT. Výskumníci aktivitu pripisujú skupine označovanej UNC3569. Riziko sa týkalo neaktualizovaných inštalácií: po interakcii používateľa so škodlivým odkazom mohol útočník spustiť kód s oprávneniami prihláseného účtu.

Gen Digital uviedol, že Tencent opravil dotknutý vstupný bod v procese biz_helper.exe. Oprava bola distribuovaná automatickou aktualizáciou 21. apríla 2026 vo verzii Sogou Input Method 16.3.0.3498. Verejné podklady však nešpecifikujú úplný rozsah zraniteľných verzií ani počet zasiahnutých organizácií či používateľov.

Ako fungovala zraniteľnosť CVE-2026-51990

Útočný reťazec začínal odkazom s vlastným protokolom sgbiz:. Tento mechanizmus vedel vyvolať spustenie komponentu Sogou Input Method a odovzdať mu parametre, ktoré smerovali na útočníkom kontrolovanú URL. Gen Digital pozoroval spúšťanie SGMyInput.exe s parametrami -page=skincenter a -url.

Takto otvorený obsah následne umožnil vykonať kód v kontexte aktuálne prihláseného používateľa. V analyzovanom incidente bol výsledkom backdoor GRAYRABBIT, teda nástroj poskytujúci útočníkovi vzdialený prístup k napadnutému zariadeniu.

Označenie útoku ako „one-click“ treba chápať presne: používateľ musel na škodlivý odkaz kliknúť. Tencent podľa citovanej odpovede zároveň uviedol, že útok vyžadoval sociálne inžinierstvo, aby používateľ autorizoval výzvu prehliadača. Nešlo teda o útok, ktorý by prebehol úplne bez interakcie obete.

Oprava blokuje pozorovanú cestu, nie všetky rizikové prvky

Podľa Gen Digital oprava vo verzii 16.3.0.3498 blokuje pozorovanú techniku využívajúcu externý protokol a útočníkom riadenú URL. Výskumníci však upozornili, že integrovaný Chromium 80 a niektoré nebezpečné nastavenia frameworku CEF zostali bez zmeny. Samotná analýza preto netvrdí, že boli týmto odstránené všetky možné bezpečnostné riziká súvisiace so zabudovaným prehliadačom.

Nie je ani potvrdené, že by bola konkrétna chyba po aprílovej oprave naďalej aktívne zneužívaná. Priradenie UNC3569 k Číne je hodnotením výskumníkov a sekundárnych zdrojov, nie verejne potvrdeným pripísaním činnosti štátnym orgánom.

Čo majú správcovia preveriť

Prvým krokom je overiť, či zariadenia so Sogou Input Method pre Windows používajú aspoň verziu 16.3.0.3498. V podnikových prostrediach môže byť tento typ vstupného softvéru mimo bežného inventára aplikácií a patchovacích procesov.

  • Skontrolovať telemetriu otvárania odkazov sgbiz:.
  • Vyhľadať spúšťanie SGMyInput.exe s parametrami -page=skincenter a -url.
  • Preveriť následné podozrivé procesy spúšťané z verejných adresárov.
  • Porovnať sieťové a súborové artefakty s indikátormi z výskumu vrátane domén noht1ng[.]top a mail.uaiubifas[.]top či súborov maskovaných ako komponenty 7-Zip.

Ďalšie podrobnosti by mohlo priniesť samostatné oznámenie Tencentu o dotknutých verziách alebo o prípadnom spevnení zabudovaného prehliadača. Zverejnená analýza Gen Digital zatiaľ poskytuje technické indikátory využiteľné pri vyhľadávaní stôp po kompromitácii.

Súvisiace články

Zdroje

  • Gen Digital – Primárna technická analýza výskumníkov: CVE-2026-51990, pozorované zneužitie, GRAYRABBIT, časová os nahlásenia a opis opravy.
  • SecurityWeek – Aktuálne sekundárne spracovanie zverejnenia a jeho bezpečnostného významu.
  • The Hacker News – Nezávislé sekundárne zhrnutie techniky útoku, dostupnej opravy a zostávajúcich nejasností.

Overené a aktualizované: 14. 09. 2026 15:25

Značky
Zdieľanie

Súvisiace