概要

Gen Threat Labsは、中国と関連するハッキング集団UNC3569が、テンセント製の中国語入力アプリ「搜狗输入法(Sogou Input Method)」の脆弱性CVE-2026-51990を悪用し、GRAYRABBITバックドアを展開していたと発表した。攻撃は被害者が細工されたリンクをクリックするだけで成立するワンクリックRCEで、プロトコルハンドラの引数検証不備、Webビューでの無制限URLナビゲーション、6年前の旧式Chromiumエンジンという3つの弱点を連鎖させたものだった。Sogou Input Methodは中国で数億台にインストールされているとされ、影響範囲は極めて大きい。UNC3569はGoogle脅威インテリジェンスによって中国のハッカー雇用業界と結びつけられており、2021年から追跡されている、政府・教育・技術・金融セクターを東アジア・東南アジアで標的にしてきたグループだ。

3つの脆弱性を連鎖させた攻撃チェーン

攻撃はまず、sgbiz:カスタムプロトコルハンドラを処理するbiz_helper.exeから始まる。このハンドラはURLからmodule、paramなど5つのパラメータを抽出するが、実行ファイル名を指定するmoduleは禁止文字チェックが行われる一方、コマンドライン引数を渡すparamは単純なURLデコードのみで一切の検証を受けない。攻撃者はこの不備を突き、-page=skincenter -url=https://攻撃者のURLという引数を注入し、Sogouの設定プログラムSGMyInput.exeにスキンストアページを開かせる。

このページ種別ではCEF(Chromium Embedded Framework)ベースのWebビューが生成されるが、OnWebViewIsReady関数はスキームチェックもドメイン許可リストも持たず、-urlパラメータの内容をそのままナビゲーションしてしまう。ここに使われるレンダリングエンジンSGWebRender.exeが搭載するのは、2020年3月頃にリリースされたChromium 80.0.3987.163という6年分のセキュリティパッチを欠いた旧式バージョンだ。しかもサンドボックスはno_sandbox=TRUEで完全に無効化され、同一オリジンポリシーを無効化するdisable-web-securityやローカルファイルアクセスを許可するallow-file-access-from-filesといった危険なフラグも有効なままだった。実際の攻撃では、noht1ng[.]topがChrome 95以前のJSON.stringify型混同バグ(CVE-2021-38003)を突くエクスプロイトを配信し、921バイトのシェルコードを実行してV8ヒープを破損させ、サンドボックスなしで任意コード実行を達成していた。

GRAYRABBITバックドアの機能とC2通信

コード実行後は、Alibaba Cloud香港上のサーバー(8.218.50[.]207)から正規の7-Zipバイナリ7z.exeとトロイの木馬化されたローダー7zp.dll、暗号化ペイロードがダウンロードされ、DLLサイドロードによってGRAYRABBITバックドアが起動する。ローダーはプロセス数を数えてサンドボックス環境かどうかを判定するゲート機構や、NTFSの代替データストリームを使った自己削除機能など、検知回避のための工夫を備えている。展開されるGRAYRABBIT本体は、サイレントなプロセス実行、インタラクティブなリバースシェル、システム情報収集、ファイルのアップロード/ダウンロード、そしてリフレクティブPEロードによるプラグインモジュールの動的読み込みといったコマンドセットを持つ。C2通信はmail.uaiubifas[.]topのポート443に対し、TLSを使わない生TCP上でRC4暗号化(6バイト鍵)を用いて行われており、プラグインアーキテクチャにより機能を後から拡張できる設計になっている。

テンセントの対応と残る課題

Gen Threat Labsは2026年4月9日にテンセントへ報告し、4月21日にはバージョン16.3.0.3498で修正パッチが自動更新により配布された。修正はわずか12日というスピードで、biz_helper.exeの入力検証を強化し、URLをHTTPSのみに制限した上でsogou.comやqq.com、woa.comなど許可リストに一致するドメインへのアクセスのみを許可する内容だった。しかしこの修正はリンクハンドラの検証強化にとどまり、根本原因である旧式かつサンドボックス無効化されたCEF構成そのものは変更されていない。CVE-2026-51990は7月10日に正式採番されたが、専門家は今後も同様の手口で新たなワンクリックRCEが発見される可能性を指摘しており、Sogou Input Methodの数億に及ぶユーザーに対し、最新版への速やかな更新を呼びかけている。