Sogou Input Method besteht aus mehreren ausführbaren Dateien, die über ein eigenes Protokollschema namens sgbiz miteinander kommunizieren. Wird eine entsprechende URL geöffnet, zerlegt der Protokoll-Handler biz_helper.exe die Adresse und leitet sie an die passende Komponente weiter.
Genau dort setzte der erste Teil des Angriffs an. Laut Gen Threat Labs prüfte und bereinigte der Handler beim Zerlegen der URL den Parameter „param" nicht — und dieser bestimmt, welche Kommandozeilenargumente an die ausführbare Datei übergeben werden. Angreifer konnten so über die URL eigene Argumente einschleusen und eine sogenannte „skincenter"-Seite deklarieren, die eine weitere Funktion schlicht übernahm und im Browser ansteuerte.
Der zweite Teil wiegt schwerer: Der in Sogou Input Method eingebettete Browser basiert auf einer Chromium-80-Variante aus dem März 2020. Ihr fehlen rund sechs Jahre an Sicherheits-Patches, die Sandbox ist vollständig deaktiviert, zusätzliche Schutzmechanismen — darunter die Same-Origin-Policy — sind entfernt, und URLs dürfen andere lokale Dateien auslesen.
Aus dieser Kombination entstand die Ein-Klick-Kette. UNC3569 schickte manipulierte sgbiz-Links an Opfer; nach dem Klick verfügten die Angreifer über Codeausführung auf Systemebene. „Wir haben beobachtet, wie diese Schwachstelle von der Gruppe UNC3569 aktiv ausgenutzt wurde, um über einen präparierten Link die GrayRabbit-Backdoor auszubringen", erklärt Gen Threat Labs.
UNC3569 wird möglicherweise mit dem chinesischen Privatdienstleister i-SOON in Verbindung gebracht. Die Gruppe ist dafür bekannt, Schwachstellen in weit verbreiteter Software auszunutzen, um weltweit Organisationen aus Regierung, Bildung, Technologie und Finanzwesen anzugreifen.
Die Hintertür GrayRabbit taucht seit mindestens 2021 durchgängig bei Einbrüchen dieses Akteurs auf. Sie liefert den Angreifern eine Reverse Shell, kann Prozesse starten, Plugins nachladen, Daten in die interaktive Shell schreiben, Dateien an den Command-and-Control-Server übertragen, Systeminformationen sammeln und sich selbst beenden.
Gen Threat Labs meldete CVE-2026-51990 am 9. April an Tencent. Der Hersteller schloss die Lücke in Version 16.3.0.3498, die über die automatische Aktualisierung an alle Nutzer ausgeliefert wurde. Der Fix ergänzt im Protokoll-Handler eine Prüfung auf Schalter, die URLs enthalten.
An der eigentlichen Wurzel änderte sich damit jedoch nichts: Die veraltete und entschärfte Chromium-Konfiguration blieb bestehen. Nach Angaben von Gen Threat Labs waren Konfiguration und Version mit Stand 10. September weiterhin unverändert.