Nach der Analyse von Gen Threat Labs verkettet die Gruppe UNC3569 drei Schwachpunkte in der Software zu einer durchgehenden Angriffskette. Auslöser ist ein Klick des Opfers auf einen präparierten Link mit dem benutzerdefinierten URI-Schema sgbiz:. Windows ruft daraufhin Sogous Protokoll-Handler biz_helper.exe auf, der vom Angreifer kontrollierte Kommandozeilenargumente ungeprüft an die legitime ausführbare Datei SGMyInput.exe weiterreicht.
Im zweiten Schritt öffnen die eingeschleusten Argumente die skincenter-Komponente von Sogou und weisen deren eingebettete Chromium-Webview an, eine vom Angreifer bestimmte URL zu laden. Sogou beschränkt dabei weder das Schema noch das Ziel der Adresse.
Die so geladene Schadseite nutzt anschließend eine bekannte Schwachstelle in der veralteten Chromium-80-Engine von Sogou aus. Da der Browser ohne Sandbox und mit deaktivierten wichtigen Web-Sicherheitsmechanismen läuft, gelingt die Codeausführung — am Ende steht die Installation der GrayRabbit-Backdoor.
Google-Forscher hatten GrayRabbit bereits 2024 als modulare Schadsoftware-Familie beschrieben und der Gruppe UNC3569 zugeordnet, einem in China ansässigen Akteur, der sowohl im cyberkriminellen Umfeld als auch als Auftragsdienstleister im Cyberbereich agiert.
Das von Gen Threat Labs untersuchte Sample ist eine ausgereiftere 64-Bit-Variante mit erweitertem Befehlssatz und einer RC4-kodierten Konfiguration für die Kommunikation mit dem Command-and-Control-Server. Zu den Funktionen zählen das Starten von Prozessen, das Öffnen interaktiver Reverse Shells, das Hoch- und Herunterladen von Dateien, das Sammeln von System- und Nutzerinformationen sowie das reflektive Nachladen von Plugins direkt in den Arbeitsspeicher des Wirtssystems.
Tencent reagierte nach der Meldung vom 9. April mit Version 16.3.0.3498, die am 21. April erschien. Der Patch prüft die über den Protokoll-Handler übergebenen URL-Argumente, lässt ausschließlich HTTPS zu und begrenzt die Navigation auf freigegebene Domains aus dem Umfeld von Sogou und Tencent.
Damit ist zwar der konkrete Einstiegspunkt der Angriffskette geschlossen, das strukturelle Problem aber nicht: Die Forscher betonen, dass die verwendete Browser-Komponente weiterhin auf einem veralteten Stand ist, ohne Sandbox ausgeführt wird und zahlreiche Web-Sicherheitsfunktionen abgeschaltet bleiben.