Eine kritische Sicherheitslücke in der weit verbreiteten Sogou-Tastatur von Tencent für Windows wird derzeit aktiv von der chinesischen Bedrohungsgruppe UNC3569 ausgenutzt. Die Schwachstelle mit der Kennung CVE-2026-51990 ermöglicht eine Ein-Klick-Remote-Code-Ausführung und dient der Installation des GrayRabbit-Hintertür-Malware. Sicherheitsforscher von Gen Digital haben den Angriff dokumentiert und warnen vor den weitreichenden Implikationen für die Hunderte Millionen Nutzer in China.
Tencent-Sicherheitslücke in der Sogou-Tastatur: Die drei Angriffspunkte
Die Sogou-Eingabemethode ist eine populäre Windows-Anwendung, die es Nutzern erlaubt, chinesische Schriftzeichen mit einer Standardtastatur einzugeben. Sie enthält einen eigenen URI-Handler und einen integrierten Webbrowser auf Basis einer veralteten Chromium-80-Engine. Gen Threat Labs identifizierte drei aufeinander aufbauende Schwachstellen, die UNC3569 für den GrayRabbit-Angriff verknüpft: eine unvalidierte Befehlszeilenargument-Injektion im sgbiz:-URI, eine uneingeschränkte URL-Navigation in einem CEF-basierten Webview sowie eine veraltete, nicht sandboxierte Chromium-Browser-Engine. Diese Kombination macht die Software zu einem Einfallstor für Angreifer.
Die Angriffskette im Detail
Der Angriff beginnt, sobald ein Opfer einen präparierten sgbiz:-URI anklickt. Windows startet daraufhin den Protokollhandler biz_helper.exe von Sogou, der die vom Angreifer kontrollierten Befehlszeilenargumente ungeprüft an die legitime ausführbare Datei SGMyInput.exe übergibt. Diese injizierten Argumente öffnen die Skincenter-Komponente der Sogou-Tastatur und weisen deren eingebetteten Chromium-Webview an, eine vom Angreifer gesteuerte URL zu laden. Sogou beschränkt weder das URI-Schema noch das Ziel der Navigation. In der dritten Stufe nutzt eine schädliche Webseite eine bekannte Sicherheitslücke in der veralteten Chromium-80-Engine aus. Da der Browser ohne Sandbox und mit deaktivierten wichtigen Websicherheitsmechanismen läuft, gelingt die Codeausführung und die Installation des GrayRabbit-Hintertür-Malware.
GrayRabbit – eine modulare Hintertür mit erweiterten Fähigkeiten
Bereits 2024 beschrieben Google-Forscher GrayRabbit als modulare Malware-Familie und verknüpften sie mit der Bedrohungsgruppe UNC3569. Diese Gruppe operiert aus China heraus und ist sowohl in der Cyberkriminalität als auch als Cyberauftragnehmer unterwegs. Die von Gen Threat Labs analysierte Malware-Probe ist eine weiterentwickelte 64-Bit-Variante mit einem erweiterten Befehlsatz und einer RC4-verschlüsselten Command-and-Control-Konfiguration. GrayRabbit kann Prozesse ausführen, interaktive Reverse-Shells öffnen, Dateien hoch- und herunterladen, System- und Benutzerinformationen sammeln sowie Plugins reflektiv in den Arbeitsspeicher des Hosts laden. Die modulare Architektur erlaubt es den Angreifern, die Funktionalität nach Bedarf nachzurüsten.
Der Patch und seine Grenzen
Gen Threat Labs meldete die Schwachstelle am 9. April an Tencent. Der Softwarehersteller veröffentlichte daraufhin am 21. April die Version 16.3.0.3498 der Sogou-Tastatur. Der Patch validiert die über den Protokollhandler akzeptierten URL-Argumente, erlaubt nur HTTPS und beschränkt die Navigation auf genehmigte Domains, die zu Sogou und Tencent gehören. Damit wird die unmittelbare Angriffskette unterbrochen. Allerdings warnen die Forscher, dass der zugrunde liegende Browser weiterhin veraltet ist und ohne Sandbox läuft, während viele Websicherheitsmechanismen deaktiviert bleiben. Dies bedeutet, dass das grundlegende Sicherheitsproblem nicht behoben ist – Angreifer könnten andere Wege finden, die veraltete Engine zu missbrauchen.
Die Sicherheitslücke in der Sogou-Tastatur zeigt exemplarisch, welche Risiken entstehen, wenn alltägliche Softwarekomponenten wie Eingabemethoden mit veralteten Browser-Engines ausgestattet werden und gleichzeitig tief in das Betriebssystem integrierte Protokollhandler vertrauenswürdig behandelt werden. Tencent wird langfristig um eine grundlegende Modernisierung der Browser-Engine und eine vollständige Sandboxierung nicht herumkommen. Für Unternehmen und Nutzer in deutschsprachigen Ländern, die möglicherweise Sogou für die chinesische Texteingabe einsetzen, empfiehlt sich eine kritische Prüfung der aktuellen Version. Der Vorfall unterstreicht zudem die Notwendigkeit, auch bei proprietären Eingabemethoden regelmäßig Sicherheitsupdates zu verfolgen und die Hersteller in die Pflicht zu nehmen, ihre Architektur nach aktuellen Standards auszurichten.
