Критическая уязвимость в Sogou Input Method позволила ставить бэкдоры по одной ссылке

Цепочка атаки состоит из трёх уязвимостей. По отдельности каждая из них не так опасна. Сначала жертва получает ссылку необычного формата. Система передаёт её фирменному обработчику Sogou. Этот компонент проверяет, какую программу разрешено запустить. Проверка существует, но защищает она только имя программы. Дополнительные параметры запуска обработчик не проверяет вовсе. В результате атакующий подставляет собственные команды для легитимного приложения. Затем подключается программа настройки. Один из её экранов создаёт встроенный браузерный компонент. Браузер открывает адрес, взятый из той же ссылки. Никаких ограничений на него нет. Наконец, сам движок основан на сборке Chromium 2020 года. За шесть лет в нём накопились сотни известных уязвимостей. При этом разработчики отключили изолированную среду. Они же сняли защиту, которая запрещает страницам читать данные других сайтов.

По данным Gen Threat Labs, вся цепочка умещается в одну ссылку. Обнаружили её не в ходе планового аудита, а при разборе реального взлома. След привёл к процессу Sogou Input Method. Дальнейшее расследование вывело на группировку UNC3569.

С точки зрения пользователя всё выглядит безобидно. Он переходит по ссылке, и на экране мелькает окно браузера. Система не показывает предупреждений. Устанавливать вручную ничего не нужно. Ссылку могут прислать в письме, в мессенджере или разместить на веб-странице. Пользователь даже не подозревает, что в этот момент на компьютер проникла вредоносная программа.

Эта группировка действует в интересах Китая. Она специализируется на быстром использовании уже известных уязвимостей. В её арсенале есть как собственные разработки, так и покупные инструменты. Целями значатся госсектор, образование, технологии и финансы. Больше всего пострадавших приходится на Восточную и Юго-Восточную Азию. В описанной кампании злоумышленники устанавливали бэкдор GRAYRABBIT. Это лёгкая программа скрытого удалённого управления, написанная на языке C++.

После заражения GRAYRABBIT даёт оператору широкие возможности. Он выполняет команды скрытно, без появления окон. Он открывает удалённую командную оболочку. Он передаёт файлы в обе стороны. Кроме того, он собирает сведения о машине: сетевой адрес, имя компьютера, имя пользователя и номер процесса. Дополнительные модули программа загружает с сервера управления во время работы. Поэтому набор функций можно расширять, не меняя основной код. Связь идёт в зашифрованном виде, а после обрыва восстанавливается сама.

Вредоносный код проверяет, не запущен ли он в исследовательской изолированной среде. Если число работающих процессов слишком мало, расшифровка полезной нагрузки даёт мусор. На обычном компьютере она проходит нормально. Промежуточный компонент маскируется под библиотеку легитимной утилиты для работы с архивами. Он запускается вместе с ней и перехватывает управление. После запуска программа стирает собственный файл с диска. Следов удаления в журналах при этом не остаётся.

Программа ввода запускается вместе с системой и работает с правами пользователя. Она постоянно активна, поэтому не привлекает внимания. Встроенный браузер нужен ей для магазина оформлений. Именно через этот безобидный на вид модуль злоумышленники и проникали в систему. Последствия зависят от задач оператора. Чаще всего речь идёт о краже документов, переписки и учётных данных. В корпоративной сети заражённый компьютер даёт доступ к другим системам. Для госучреждений такие атаки оборачиваются утечкой служебной информации.

Tencent отреагировала быстро. Отчёт поступил 9 апреля 2026 года. Уже 21 апреля исправление разошлось по пользователям через автоматическое обновление. Речь идёт о версии 16.3.0.3498. Двенадцать дней от сообщения до патча - редкий по скорости результат. Теперь обработчик ссылок проверяет адреса. Он пропускает только защищённые соединения с доменами Sogou и партнёров. Исправление закрывает путь, которым пользовалась группировка.

Однако сам браузерный компонент не изменился. Разработчики по-прежнему держат изолированную среду отключённой. Движок остался той же старой сборки. Опасные настройки остались на месте. Известные уязвимости этого движка по-прежнему открыты. Просто добраться до них через внешнюю ссылку больше нельзя. В компании считают опасность ограниченной. По её оценке, цепочка слишком сложна, а пользователю требуется дополнительно подтвердить действие. Разработчики также призвали платформы активнее блокировать вредоносные ссылки.

Владельцам Sogou Input Method стоит обновиться до последней версии. Организациям полезно держать под контролем список программ на рабочих компьютерах. Неожиданные ссылки от знакомых и в письмах лучше проверять до перехода. Обновление стоит устанавливать сразу, как только оно появилось. Устаревшие встроенные браузеры встречаются не только в Sogou. Многие программы для ввода текста, мессенджеры и служебные утилиты несут в себе движок, который годами не обновляется. Такой разрыв между удобством и защитой сохраняет долгосрочный риск.