UNC3569 sfrutta Sogou con un exploit one-click e installa GRAYRABBIT

🛡️ Executive Summary

• UNC3569 ha sfruttato CVE-2026-51990 in Sogou Input Method concatenando protocol handler, navigazione non validata e Chromium 80 privo di sandbox.
• L’exploit riutilizza CVE-2021-38003 in V8 e scarica GRAYRABBIT attraverso 7-Zip e DLL sideloading da infrastruttura Alibaba Cloud.
• Tencent ha corretto il vettore nella versione 16.3.0.3498, ma il browser embedded resta Chromium 80 con sandbox e web security disabilitate.

UNC3569, attore con nexus cinese monitorato da Google Threat Intelligence, ha sfruttato attivamente una vulnerabilità di Sogou Input Method per trasformare un collegamento appositamente costruito in esecuzione di codice sul sistema Windows della vittima. La falla, identificata come CVE-2026-51990, non dipende da un singolo errore: la catena combina parametri non validati nel protocol handler sgbiz:, navigazione arbitraria nel webview utilizzato dallo skin store e una versione di Chromium 80 vecchia di oltre sei anni, eseguita senza sandbox. Gen Threat Labs ha individuato l’exploit durante un’intrusione reale di UNC3569 e ha ricostruito la distribuzione della backdoor GRAYRABBIT, utilizzata dal gruppo almeno dal 2021.

CVE-2026-51990 nasce dalla concatenazione di tre debolezze

L’elemento più interessante dell’attacco è che nessuno dei componenti iniziali, preso isolatamente, descrive completamente la vulnerabilità. Nella ricerca tecnica pubblicata da Gen Threat Labs, Sogou Input Method utilizza un protocollo personalizzato denominato sgbiz: per consentire ai propri componenti Windows di comunicare. Quando un URL di questo tipo viene aperto, biz_helper.exe interpreta i parametri e avvia il componente Sogou richiesto. Il nome del modulo viene sottoposto a controlli contro path traversal e caratteri non consentiti, mentre il parametro che contiene gli argomenti da riga di comando non viene validato. UNC3569 ha sfruttato questa asimmetria per avviare SGMyInput.exe, il programma di configurazione di Sogou, imponendogli di aprire la pagina dello skin store insieme a un URL controllato dall’attaccante. Lo skin store utilizza un webview Chromium Embedded Framework, e anche in questo passaggio l’indirizzo fornito non veniva sottoposto ad allowlist o controllo sullo schema.

La catena rappresenta un caso particolarmente efficace di exploit composto: un protocol handler nato per l’integrazione tra componenti diventa l’ingresso per parametri controllabili, una funzione legittima dell’interfaccia apre il browser embedded e quel browser eredita una superficie d’attacco rimasta tecnologicamente ferma per anni.

Chromium 80 gira senza sandbox e con la same-origin policy disattivata

Il terzo elemento rende l’intera catena molto più pericolosa. Il componente SGWebRender.exe carica CEF 80.1.16 basato su Chromium 80.0.3987.163, una release risalente circa a marzo 2020. Non si tratta soltanto di un browser obsoleto: Gen ha verificato che la configurazione imposta esplicitamente no_sandbox = TRUE, disabilitando il principale meccanismo di confinamento dei renderer Chromium. Vengono inoltre applicati flag come disable-web-security e allow-file-access-from-files, con conseguente disattivazione della same-origin policy e ampliamento delle possibilità di accesso ai contenuti locali. In questo contesto UNC3569 non ha avuto bisogno di sviluppare una nuova zero-day del browser. La pagina controllata dagli attaccanti utilizzava CVE-2021-38003, vulnerabilità V8 corretta da Google in Chrome 95 nell’ottobre 2021 e presente da anni nel catalogo delle vulnerabilità sfruttate della CISA. Il record NVD di CVE-2021-38003 conferma che il problema colpisce Chrome precedente a 95.0.4638.69 e che la falla è associata a exploitation attiva. Sogou continuava però a incorporare Chromium 80, rendendo nuovamente utilizzabile un exploit pubblicamente noto da quasi cinque anni.

Leggi anche: PeckBirdy collega GRAYRABBIT e UNC3569 all’ecosistema delle APT cinesi

Da JavaScript a 7-Zip: il sideloading porta GRAYRABBIT sulla macchina

Dopo l’esecuzione del codice nel renderer, la shellcode scarica tre file da un server Alibaba Cloud localizzato a Hong Kong: una copia legittima di 7z.exe, una DLL malevola e un payload cifrato. I file vengono scritti in C:\Users\Public\Documents. Il comando successivo avvia semplicemente 7-Zip, ma la presenza della falsa 7z.dll nella stessa directory induce l’eseguibile legittimo a caricare il codice dell’attaccante attraverso DLL sideloading. È una tecnica ricorrente negli ecosistemi di cyber spionaggio cinesi perché consente di eseguire payload attraverso programmi autentici e spesso firmati. SilkParasite utilizza sistematicamente DLL sideloading con applicazioni legittime per distribuire diversi RAT, mentre in questo caso 7-Zip diventa semplicemente l’host incaricato di avviare il loader.

Il loader introduce anche un controllo anti-sandbox particolarmente semplice. Conta i processi attivi sul computer: se sono meno di 50, modifica il valore utilizzato per derivare la chiave di decifratura, producendo un payload inutilizzabile. Il presupposto è che un desktop reale esegua normalmente decine di processi, mentre molti ambienti automatizzati di analisi ne presentano meno. Prima di terminare, la DLL tenta inoltre di cancellarsi ricorrendo a un NTFS Alternate Data Stream, evitando la classica chiamata DeleteFileW che potrebbe essere intercettata da regole comportamentali.

GRAYRABBIT offre shell remota, trasferimento file e moduli aggiuntivi

Il payload finale è una variante x64 di GRAYRABBIT, backdoor C++ associata da anni a UNC3569. Il malware stabilisce una connessione verso mail.uaiubifas[.]top sulla porta 443, ma non utilizza TLS: il traffico consiste in TCP grezzo cifrato con RC4 attraverso una chiave statica. L’anomalia rende particolarmente interessante per il threat hunting il traffico non TLS diretto alla porta normalmente destinata a HTTPS. GRAYRABBIT implementa comandi per avviare processi, creare una reverse shell interattiva, trasferire file, raccogliere informazioni sul sistema e caricare dinamicamente ulteriori moduli ricevuti dal C2. Il suo loader riflessivo mappa i PE direttamente in memoria, risolve importazioni e relocations e passa successivamente il controllo al modulo caricato. La backdoor rappresenta quindi soprattutto un first-stage implant: una volta installata, l’operatore può estendere le capacità dell’infezione senza sostituire il componente principale.

Gen collega questa modalità operativa alle precedenti attività di UNC3569 e alla sua preferenza per infrastrutture Alibaba Cloud nelle regioni di Hong Kong e Singapore. Il gruppo è stato osservato contro organizzazioni governative, tecnologiche, finanziarie e dell’istruzione, soprattutto nell’Asia orientale e sud-orientale, e secondo i ricercatori avrebbe possibili relazioni commerciali con i-SOON. Le indagini su i-SOON hanno già mostrato un modello nel quale contractor privati vendono capacità offensive a diversi uffici dell’apparato statale cinese, rendendo la distinzione tra attore statale e hacker-for-hire meno lineare rispetto alle APT tradizionali.

Sogou aveva già mostrato problemi di sicurezza sui dati digitati

L’interesse per Sogou Input Method è amplificato dalla sua diffusione. Una ricerca del Citizen Lab dell’Università di Toronto aveva stimato già nel 2023 oltre 455 milioni di utenti attivi mensili e circa il 70% del mercato cinese degli input method. Quello studio aveva individuato problemi completamente diversi da CVE-2026-51990, ma altrettanto significativi: vulnerabilità nel sistema crittografico proprietario EncryptWall permettevano a un osservatore di rete di decifrare comunicazioni contenenti persino i tasti digitati dagli utenti. Tencent aveva corretto quelle falle passando a versioni che impiegavano TLS. Il nuovo caso non dimostra una continuità tecnica con quelle vulnerabilità, ma evidenzia una criticità architetturale differente: componenti integrati all’interno di applicazioni molto diffuse possono continuare a incorporare software browser obsoleto anche quando l’applicazione principale viene aggiornata. L’impatto è particolarmente evidente quando il componente incorporato viene eseguito con protezioni fondamentali deliberatamente disabilitate.

Continua con:

• Operation FishMedley ricostruisce il ruolo di i-SOON nelle campagne di cyber spionaggio cinesi
• Silver Fox usa falsi siti Sogou e altri installer per disattivare Defender e Windows Update

Tencent chiude il vettore ma lascia intatto Chromium 80

Gen ha notificato la vulnerabilità a Tencent il 9 aprile 2026. Il produttore ha confermato il completamento della correzione il 21 aprile, distribuendo automaticamente Sogou Input Method 16.3.0.3498. La patch interviene su biz_helper.exe: gli argomenti che contengono indirizzi web vengono ora limitati a HTTPS e confrontati con una lista di domini consentiti, tra cui sogou.com, qq.com, woa.com e altri domini Sogou autorizzati. Il punto più delicato rimane ciò che non è stato aggiornato. Nella versione analizzata dopo la patch, Gen ha trovato ancora Chromium 80, la sandbox disattivata e gli stessi flag che eliminano parte delle protezioni web. La correzione impedisce a un attaccante esterno di utilizzare il precedente percorso sgbiz: per portare quel browser su un dominio arbitrario, quindi neutralizza la catena osservata. Non elimina però il debito tecnico sottostante. Per gli ambienti potenzialmente esposti prima del 21 aprile, aggiornare Sogou non equivale inoltre a dimostrare che la macchina sia pulita. Gen ha pubblicato hash, domini e percorsi utilizzati nell’intrusione, compresi noht1ng[.]top, mail.uaiubifas[.]top, l’indirizzo 8.218.50[.]207 e i file depositati in C:\Users\Public\Documents. Il caso UNC3569 mostra così una dinamica più ampia dello sfruttamento n-day: una vulnerabilità del 2021 può tornare pienamente efficace nel 2026 quando rimane sepolta dentro un componente embedded che nessuno ha realmente modernizzato.