Die Angriffskette beginnt bei der Architektur des Windows-Clients. Sogou Input Method ist dort kein einzelnes Programm, sondern ein Verbund von Komponenten, die über den eigens registrierten Link-Typ sgbiz: miteinander sprechen. Öffnet etwas einen sgbiz:-Link, reicht Windows ihn an biz_helper.exe weiter, das die darin genannte Sogou-Komponente startet.
Dieser Handler prüfte zwar, welches Programm gestartet werden soll — nicht aber die mitgegebenen Kommandozeilenargumente. Gen fand dort keinerlei Filterung. Die Angreifer wählten die Argumente daher frei: Der Link verwies auf SGMyInput.exe, das Einstellungsprogramm von Sogou, und wies es an, den Skin-Store mit einer beliebigen Webadresse zu öffnen. Der Skin-Store ist die einzige Ansicht dieses Programms, die ein Browserfenster öffnet — und der Code übergibt jede Adresse ungeprüft.
Das dritte Problem steckt in diesem Browser: Sogou baut eine eigene Chromium-Variante, und zwar Version 80 von etwa März 2020. Gen fand zwei Schutzmechanismen fest im Code abgeschaltet — die Sandbox und die Same-Origin-Policy. Ohne Sandbox wird aus einer JavaScript-Lücke direkt Codeausführung mit den Rechten des Nutzers, ein zweiter Ausbruchsschritt entfällt.
Gen zufolge reichte ein Klick auf den Link. Tencent widerspricht: In einer in der Untersuchung zitierten Stellungnahme bezeichnet das Unternehmen die Kette als vergleichsweise komplex; ein Angreifer benötige Social Engineering, damit der Nutzer „die Pop-up-Abfrage des Browsers aktiv bestätigt". Chromium-basierte Browser zeigen tatsächlich eine Bestätigung, bevor sie einen Link an ein separates Programm übergeben, und Nutzer können diese pro Seite abschalten. Keines der beiden Unternehmen sagt, was die Betroffenen dieser Kampagne sahen. Gen weist darauf hin, dass der Link auch per E-Mail oder Chat ankommen konnte.
Die Zielseite trug einen Exploit für CVE-2021-38003, eine Schwachstelle in der Behandlung von JSON.stringify durch Chromes JavaScript-Engine V8. Google behob sie im Oktober 2021 mit Chrome 95, die CISA nahm sie am 3. November 2021 in ihren Katalog bekannter ausgenutzter Schwachstellen auf, und die Singapurer Firma STAR Labs veröffentlichte im Dezember 2022 eine vollständige Analyse samt funktionsfähigem Exploit-Code. Sogous Chromium-Build erhielt diesen Fix nie — und die meisten anderen ebenfalls nicht: Von den 41 Chromium-V8-Lücken im CISA-Katalog wurden mindestens 32 erst in Chrome-Versionen nach Sogous Stand behoben.
Der Exploit lieferte einen kleinen Downloader, der laut Gen drei Dateien von einem Server bei Alibaba Cloud in Hongkong nachlud: eine legitime 7-Zip-Kopie, eine bösartige DLL und eine verschlüsselte Datei mit der finalen Nutzlast, alle in C:\Users\Public\Documents. Die DLL trug den Namen, den 7-Zip beim Start aus seinem Ordner lädt. Vor dem Entschlüsseln zählt sie die laufenden Prozesse: Bei weniger als 50 baut sie einen falschen Schlüssel, die Nutzlast wird unbrauchbar — ein Schutz gegen automatisierte Analyseumgebungen. Anschließend verschiebt sie ihren Inhalt in einen NTFS-Alternate-Data-Stream und markiert die Datei zur Löschung, ohne dass ein Löschaufruf in Verhaltensprotokollen auftaucht.
GRAYRABBIT kontaktiert den Server mail.uaiubifas[.]top auf Port 443, allerdings als reiner TCP-Verkehr mit RC4 verschleiert statt per TLS. Gen meldete die Lücke am 9. April 2026 an Tencent; am 21. April bestätigte Tencent den fertigen Fix, der über ein automatisches Update in Version 16.3.0.3498 ausgeliefert wurde — nach zwölf Tagen.
Der Fix sitzt vollständig in biz_helper.exe: Das Programm prüft nun die beiden Argumente mit Webadressen, lehnt alles ab, was nicht HTTPS ist, und erlaubt nur die Endungen sogou.com, qq.com, woa.com und sogou. Die Browser-Engine blieb unangetastet — Sandbox weiterhin aus, Web-Security-Flag weiterhin im Code, weiterhin Chromium 80. Gen hält an diesen Komponenten weitere Arbeit für nötig. Offen bleibt zudem, welche Versionen betroffen waren und wie sich die installierte Version prüfen lässt; auch ob das Update eine bereits laufende Backdoor entfernt, sagt keine Quelle.