Lỗ hổng Sogou Input Method bị khai thác để cài backdoor GRAYRABBIT
"A China-linked group identified as UNC3569 exploited a flaw in the Windows version of Sogou Input Method to deliver the GRAYRABBIT backdoor. The attack chain used a crafted sgbiz: link to launch Sogou's settings component, open an attacker-controlled page in an outdated Chromium 80-based browser with sandbox protections disabled, and trigger exploitation of CVE-2021-38003; Tencent fixed the underlying Sogou flaw in April 2026, but the embedded browser remained outdated and unpatched in the examined build."
Ảnh hưởng trực tiếp đến máy trạm Windows, có thể dẫn tới thực thi mã từ xa và cài backdoor. Việc dùng lại CVE-2021-38003 cho thấy rủi ro từ thành phần nhúng lỗi thời vẫn còn đáng kể.
Có thể gây gián đoạn trên máy người dùng cuối, làm tăng nguy cơ rò rỉ dữ liệu và mở rộng xâm nhập trong nội bộ. Các tổ chức dùng Sogou Input Method cần ưu tiên kiểm tra và vá lỗi để giảm chi phí ứng phó sự cố.
Theo nghiên cứu của Gen Digital, một nhóm tấn công liên quan đến Trung Quốc, được theo dõi với tên UNC3569, đã khai thác lỗ hổng trong Sogou Input Method trên Windows để triển khai GRAYRABBIT backdoor trên máy nạn nhân. Chuỗi tấn công bắt đầu từ một liên kết sgbiz: được tạo sẵn, dẫn tới thành phần cấu hình của Sogou, mở một trang do kẻ tấn công kiểm soát trong trình duyệt nhúng dựa trên Chromium 80, rồi kích hoạt khai thác CVE-2021-38003. Tencent đã vá lỗ hổng gốc vào tháng 4/2026, nhưng bản dựng được phân tích vẫn còn trình duyệt lỗi thời và sandbox bị tắt.
GRAYRABBIT là một backdoor nhỏ, cho phép mở remote command shell, chuyển tệp hai chiều và tải thêm mô-đun từ máy chủ tấn công. Gen cho biết chỉ cần người dùng mở liên kết là có thể bị ảnh hưởng, trong khi Tencent mô tả chuỗi khai thác là phức tạp hơn và có thể cần social engineering.
Khuyến nghị: cập nhật Sogou Input Method lên bản đã vá, kiểm tra phiên bản Chromium nhúng, hạn chế mở liên kết lạ qua email/chat, và giám sát dấu hiệu tải xuống tệp bất thường từ Alibaba Cloud hoặc thư mục C:\Users\Public\Documents.