Уязвимость Sogou Input Method, популярного Windows-инструмента для ввода китайских иероглифов, использовали для установки бэкдора GRAYRABBIT. По данным The Hacker News, за атакой стояла связанная с Китаем группа UNC3569, а один специально подготовленный линк мог привести к запуску кода с правами вошедшего в систему пользователя. Для русскоязычных IT-команд это не экзотика про чужой рынок, а довольно практичный урок: встроенный браузер внутри настольного приложения может оказаться слабее, чем основной Chrome пятилетней давности.
Проблему обнаружила Gen Digital во время расследования реального взлома. Уязвимость получила идентификатор CVE-2026-51990, а Tencent, владелец и разработчик Sogou, выпустила исправление в версии 16.3.0.3498. По таймлайну все выглядело бодро: Gen сообщила о баге 9 апреля 2026 года, Tencent ответила на следующий день, а 21 апреля подтвердила готовность фикса и отправку обновления пользователям. Двенадцать дней на патч для массового продукта — неплохо. Неприятная часть в том, что исправили входную дверь, но не весь аварийный подъезд.
Sogou Input Method — один из самых популярных китайских методов ввода. Исследование Citizen Lab за 2023 год оценивало его аудиторию более чем в 455 млн пользователей в месяц на Windows, Android и iOS, а долю среди китайских input method — примерно в 70%. Пользователи есть не только в Китае: по данным, которые цитировались в исследовании, США давали более 3,3% посещений сайта продукта. Для компаний с офисами, подрядчиками или пользователями в Восточной и Юго-Восточной Азии это уже не «редкий локальный софт», а вероятный элемент корпоративной среды.
Цепочка атаки строилась вокруг кастомного протокола Windows sgbiz:. В Sogou Input Method несколько компонентов общаются между собой через такие ссылки: когда система открывает sgbiz:-адрес, управление получает biz_helper.exe, читает параметры и запускает нужный компонент Sogou. Проверка была половинчатой: обработчик смотрел, какую программу просят открыть, но не фильтровал аргументы командной строки. Атакующий мог подсунуть параметры сам, направить запуск на SGMyInput.exe и заставить его открыть магазин скинов с адресом, который указывает не Sogou, а атакующий.
Дальше срабатывала более старая и более грустная часть истории. Магазин скинов открывался во встроенном браузере Sogou на базе Chromium 80 — это сборка примерно уровня марта 2020 года. Gen Digital утверждает, что в этом браузере были отключены sandbox и same-origin policy, причем не настройкой администратора, а прямо в коде. В результате JavaScript-эксплойту не требовался отдельный побег из песочницы: песочницы, по сути, не было. Tencent в ответ назвала цепочку относительно сложной и указала, что атакующему нужна социальная инженерия, чтобы пользователь подтвердил всплывающее окно браузера. Но для защиты корпоративной сети это слабое утешение: фишинговые ссылки и чаты давно работают именно на таких «ну нажмите один раз» сценариях.
Для выполнения кода использовали CVE-2021-38003 — баг в V8, JavaScript-движке Chrome, связанный с обработкой JSON.stringify. Google закрыл его еще в Chrome 95 в октябре 2021 года, CISA внесла уязвимость в каталог активно эксплуатируемых 3 ноября 2021-го, а STAR Labs опубликовала подробный разбор и рабочий эксплойт в декабре 2022-го. Sogou Chromium 80 этого исправления не получил. Более того, The Hacker News сверила данные по V8-уязвимостям из каталога CISA и указывает: минимум 32 из 41 были закрыты в версиях Chrome новее той, что использовалась в Sogou. Это не значит, что все 32 автоматически применимы к магазину скинов, но для риск-модели картина и без того достаточно говорящая.
После эксплуатации на машину попадал загрузчик. Gen Digital отследила, как он скачивал с сервера Alibaba Cloud в Гонконге три файла: легитимный 7-Zip, вредоносную DLL и зашифрованный файл с финальной нагрузкой. Все складывалось в C:UsersPublicDocuments. DLL называлась так, чтобы 7-Zip сам подхватил ее при запуске из своей папки. Команда архиватора при этом не несла полезного смысла: ее задача была просто стартовать процесс и загрузить код атакующего. Перед расшифровкой DLL считала число процессов в системе. Если их меньше 50, ключ получался неправильным, а payload превращался в мусор — простой фильтр против песочниц и автоматических анализаторов.
Финальной нагрузкой становился GRAYRABBIT — компактный бэкдор, который Google связывает с UNC3569 и описывает как первый плацдарм группы на зараженной машине. Он дает удаленную командную оболочку, позволяет передавать файлы в обе стороны и догружать модули с сервера оператора. Командный сервер в расследовании Gen Digital указан как mail.uaiubifas[.]top на порту 443. Трафик при этом не TLS, а обычный TCP, замаскированный RC4. Для SOC это хороший практический индикатор: порт 443 сам по себе давно ничего не доказывает, а нетипичный не-TLS-трафик на нем стоит выносить в отдельные правила наблюдения.
Tencent закрыла конкретный путь через biz_helper.exe: в патче проверяются аргументы с веб-адресами, отклоняется все, что не HTTPS, а домены сверяются с разрешенными окончаниями вроде sogou.com, qq.com, woa.com и sogou. Gen Digital пишет, что позже добавились дополнительные проверки. Но встроенный Chromium остался старым, sandbox по-прежнему выключен, а опасные флаги веб-безопасности сохранились в коде. То есть уязвимость Sogou в виде конкретной цепочки закрыли, но архитектурный долг никуда не делся.
Практический минимум для администраторов прост: обновить Sogou Input Method до 16.3.0.3498 или новее, проверить хосты, где продукт мог использоваться до 21 апреля 2026 года, и поискать следы GRAYRABBIT по сетевым и файловым индикаторам. Публично не уточняется, какие версии были уязвимы и как именно пользователю надежно проверить установленную версию, а еще нет ответа, удаляет ли обновление уже работающий бэкдор. Главный вопрос шире одной программы: сколько корпоративных приложений держат внутри себя старые браузерные движки, отключенные защитные механизмы и кастомные URL-протоколы, о которых вспоминают только после атаки.