UNC3569 использовала уязвимость Sogou для установки бэкдора GRAYRABBIT
Связанная с Китаем группировка эксплуатировала ошибку в Windows-версии метода ввода Sogou через специально подготовленную ссылку. Tencent устранила конкретный вектор атаки в апреле 2026 года, однако в приложении по-прежнему используется Chromium 80 с отключённой песочницей, утверждают исследователи Gen Digital.
Группировка UNC3569, которую Google Threat Intelligence связывает с Китаем, использовала уязвимость в Sogou Input Method для Windows для доставки бэкдора GRAYRABBIT. Об этом сообщила Gen Digital, расследовавшая активное проникновение. По данным компании, после перехода по подготовленной ссылке злоумышленники могли выполнять на компьютере действия с правами вошедшего пользователя.
Sogou Input Method — средство ввода китайских иероглифов. В Windows его компоненты вызываются через зарегистрированную в системе схему ссылок sgbiz:. Исследователи выяснили, что обработчик таких ссылок проверял запускаемый компонент, но не фильтровал передаваемые ему параметры. Это позволило открыть в настройках Sogou окно магазина тем по адресу, заданному атакующим.
Встроенный в это окно браузер основан на Chromium 80, выпущенном около марта 2020 года. Как утверждает Gen Digital, в его коде отключены песочница и политика одинакового происхождения. На открывшейся странице атакующие применяли CVE-2021-38003 — уязвимость движка JavaScript V8, исправленную Google в Chrome 95 в октябре 2021 года. Она позволяла выполнить код с правами текущего пользователя без отдельного выхода из песочницы, поскольку та была отключена.
Tencent, владеющая и разрабатывающая Sogou, исправила использованный в кампании способ атаки в апреле 2026 года. Однако, по оценке Gen Digital, обновление не изменило архитектурные причины проблемы: в проверенной исследователями версии остались Chromium 80 и отключённая песочница. В комментарии, приведённом в отчёте, Tencent назвала цепочку атаки сравнительно сложной и заявила, что злоумышленникам потребуется социальная инженерия, чтобы убедить пользователя подтвердить всплывающее окно браузера. Gen Digital, в свою очередь, пишет, что перехода по ссылке было достаточно; неизвестно, какие именно запросы видел пользователь в зафиксированной кампании.
После эксплуатации уязвимости загрузчик скачивал с сервера Alibaba Cloud в Гонконге легитимную копию 7-Zip, вредоносную DLL-библиотеку и зашифрованный финальный модуль. Файлы помещались в C:\Users\Public\Documents. DLL была сохранена под именем библиотеки, которую 7-Zip загружает при запуске из собственной папки: запуск архиватора использовался для выполнения кода атакующих.
Затем загрузчик проверял число запущенных процессов. Если их было меньше 50, он формировал неверный ключ расшифрования, из-за чего полезная нагрузка становилась непригодной для запуска. Исследователи связывают эту проверку с попыткой избежать автоматизированных сред анализа, где обычно работает мало процессов. GRAYRABBIT предоставляет удалённую командную оболочку, позволяет передавать файлы в обе стороны и загружать дополнительные модули с сервера злоумышленников.
Google отслеживает UNC3569 с 2021 года и относит её к китайской экосистеме наёмных хакеров. По данным Google Threat Intelligence, группа атакует организации из государственного, образовательного, технологического и финансового секторов, преимущественно в Восточной и Юго-Восточной Азии.