Sogou Input sotto attacco: un solo link installa GRAYRABBIT e apre la porta allo spionaggio UNC3569

Un recente caso di sicurezza informatica ha mostrato come una vulnerabilità in Sogou Input Method, uno dei metodi di input più usati per digitare caratteri cinesi su Windows, sia stata sfruttata per installare una backdoor chiamata GRAYRABBIT sui computer delle vittime. La campagna è stata attribuita al gruppo UNC3569, collegato ad attività di spionaggio e mercenariato digitale, con bersagli storici in settori come governo, istruzione, tecnologia e finanza, soprattutto in Asia orientale e sud orientale.

Catena di attacco tramite link sgbiz

La catena di attacco partiva da un singolo link appositamente creato. Su Windows, Sogou Input Method non è un unico eseguibile ma un insieme di componenti che comunicano tramite un tipo di collegamento personalizzato registrato nel sistema, sgbiz. Quando un utente apre un link sgbiz, il sistema lo passa a un componente incaricato di interpretarlo e avviare il modulo indicato.

Il problema nasce dal fatto che veniva controllato quale programma avviare, ma non venivano filtrati gli argomenti passati da riga di comando. In pratica, un attaccante poteva scegliere i parametri.

Finestra web basata su Chromium datato e protezioni disattivate

Il link poteva forzare l'apertura del programma di impostazioni e indirizzare la finestra del negozio di skin verso un URL controllato dall'attaccante. Qui entrava in gioco un ulteriore punto critico: la finestra web si basava su una build di Chromium molto datata, circa del 2020, con protezioni fondamentali disattivate, inclusa la sandbox e impostazioni di web security.

Questo scenario rendeva possibile trasformare un exploit JavaScript in esecuzione di codice sul computer con i privilegi dell'utente, senza dover superare barriere aggiuntive.

Sfruttamento di CVE-2021-38003 e installazione di GRAYRABBIT

La pagina malevola sfruttava una falla nota in V8, CVE-2021-38003, già corretta nei browser moderni. Una volta ottenuta l'esecuzione, veniva scaricato un set di file tra cui una copia legittima di 7-Zip, una DLL malevola e un payload cifrato.

La DLL veniva caricata tramite tecnica di DLL sideloading e includeva controlli anti analisi, come il conteggio dei processi, oltre a tecniche di cancellazione più difficili da tracciare. Il risultato finale era la backdoor GRAYRABBIT, capace di fornire shell remota, trasferimento file e caricamento di moduli aggiuntivi, con comunicazione su porta 443 ma senza TLS, un indicatore utile per il monitoraggio di rete.

Patch e mitigazioni

Il produttore ha rilasciato una correzione in versione 16.3.0.3498, limitando gli URL consentiti e imponendo HTTPS, ma senza aggiornare il motore Chromium interno. Per ridurre il rischio, è fondamentale verificare aggiornamenti, controllare eventuali indicatori di compromissione e monitorare traffico anomalo su porta 443 non cifrata.