{"id":53137,"date":"2026-09-13T18:15:23","date_gmt":"2026-09-13T16:15:23","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=53137"},"modified":"2026-09-13T18:15:23","modified_gmt":"2026-09-13T16:15:23","slug":"sogou-tastatur-sicherheitsluecke-grayrabbit-malware-installation-risiko-patch-tencent-unc3569-cve-2026-51990-ein-klick-rce-remote-code-execution-hintertuer-modular-cyberkriminalitaet-china-gen-threat","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/sogou-tastatur-sicherheitsluecke-grayrabbit-malware-installation-risiko-patch-tencent-unc3569-cve-2026-51990-ein-klick-rce-remote-code-execution-hintertuer-modular-cyberkriminalitaet-china-gen-threat\/","title":{"rendered":"Tencent-Sicherheitsl\u00fccke in Sogou-Tastatur erm\u00f6glicht GrayRabbit-Installation"},"content":{"rendered":"<p>Eine kritische Sicherheitsl\u00fccke in der weit verbreiteten <a href=\"https:\/\/www.sogou.com\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Sogou-Tastatur<\/a> von <a href=\"https:\/\/www.tencent.com\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Tencent<\/a> f\u00fcr Windows wird derzeit aktiv von der chinesischen Bedrohungsgruppe UNC3569 ausgenutzt. Die Schwachstelle mit der Kennung CVE-2026-51990 erm\u00f6glicht eine Ein-Klick-Remote-Code-Ausf\u00fchrung und dient der Installation des GrayRabbit-Hintert\u00fcr-Malware. Sicherheitsforscher von <a href=\"https:\/\/www.gendigital.com\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Gen Digital<\/a> haben den Angriff dokumentiert und warnen vor den weitreichenden Implikationen f\u00fcr die Hunderte Millionen Nutzer in China.<\/p>\n<h2>Tencent-Sicherheitsl\u00fccke in der Sogou-Tastatur: Die drei Angriffspunkte<\/h2>\n<p>Die Sogou-Eingabemethode ist eine popul\u00e4re Windows-Anwendung, die es Nutzern erlaubt, chinesische Schriftzeichen mit einer Standardtastatur einzugeben. Sie enth\u00e4lt einen eigenen URI-Handler und einen integrierten Webbrowser auf Basis einer veralteten Chromium-80-Engine. Gen Threat Labs identifizierte drei aufeinander aufbauende Schwachstellen, die UNC3569 f\u00fcr den GrayRabbit-Angriff verkn\u00fcpft: eine unvalidierte Befehlszeilenargument-Injektion im sgbiz:-URI, eine uneingeschr\u00e4nkte URL-Navigation in einem CEF-basierten Webview sowie eine veraltete, nicht sandboxierte Chromium-Browser-Engine. Diese Kombination macht die Software zu einem Einfallstor f\u00fcr Angreifer.<\/p>\n<h3>Die Angriffskette im Detail<\/h3>\n<p>Der Angriff beginnt, sobald ein Opfer einen pr\u00e4parierten sgbiz:-URI anklickt. Windows startet daraufhin den Protokollhandler biz_helper.exe von Sogou, der die vom Angreifer kontrollierten Befehlszeilenargumente ungepr\u00fcft an die legitime ausf\u00fchrbare Datei SGMyInput.exe \u00fcbergibt. Diese injizierten Argumente \u00f6ffnen die Skincenter-Komponente der Sogou-Tastatur und weisen deren eingebetteten Chromium-Webview an, eine vom Angreifer gesteuerte URL zu laden. Sogou beschr\u00e4nkt weder das URI-Schema noch das Ziel der Navigation. In der dritten Stufe nutzt eine sch\u00e4dliche Webseite eine bekannte Sicherheitsl\u00fccke in der veralteten Chromium-80-Engine aus. Da der Browser ohne Sandbox und mit deaktivierten wichtigen Websicherheitsmechanismen l\u00e4uft, gelingt die Codeausf\u00fchrung und die Installation des GrayRabbit-Hintert\u00fcr-Malware.<\/p>\n<h2>GrayRabbit \u2013 eine modulare Hintert\u00fcr mit erweiterten F\u00e4higkeiten<\/h2>\n<p>Bereits 2024 beschrieben Google-Forscher GrayRabbit als modulare Malware-Familie und verkn\u00fcpften sie mit der Bedrohungsgruppe UNC3569. Diese Gruppe operiert aus China heraus und ist sowohl in der Cyberkriminalit\u00e4t als auch als Cyberauftragnehmer unterwegs. Die von Gen Threat Labs analysierte Malware-Probe ist eine weiterentwickelte 64-Bit-Variante mit einem erweiterten Befehlsatz und einer RC4-verschl\u00fcsselten Command-and-Control-Konfiguration. GrayRabbit kann Prozesse ausf\u00fchren, interaktive Reverse-Shells \u00f6ffnen, Dateien hoch- und herunterladen, System- und Benutzerinformationen sammeln sowie Plugins reflektiv in den Arbeitsspeicher des Hosts laden. Die modulare Architektur erlaubt es den Angreifern, die Funktionalit\u00e4t nach Bedarf nachzur\u00fcsten.<\/p>\n<h2>Der Patch und seine Grenzen<\/h2>\n<p>Gen Threat Labs meldete die Schwachstelle am 9. April an Tencent. Der Softwarehersteller ver\u00f6ffentlichte daraufhin am 21. April die Version 16.3.0.3498 der Sogou-Tastatur. Der Patch validiert die \u00fcber den Protokollhandler akzeptierten URL-Argumente, erlaubt nur HTTPS und beschr\u00e4nkt die Navigation auf genehmigte Domains, die zu Sogou und Tencent geh\u00f6ren. Damit wird die unmittelbare Angriffskette unterbrochen. Allerdings warnen die Forscher, dass der zugrunde liegende Browser weiterhin veraltet ist und ohne Sandbox l\u00e4uft, w\u00e4hrend viele Websicherheitsmechanismen deaktiviert bleiben. Dies bedeutet, dass das grundlegende Sicherheitsproblem nicht behoben ist \u2013 Angreifer k\u00f6nnten andere Wege finden, die veraltete Engine zu missbrauchen.<\/p>\n<p>Die Sicherheitsl\u00fccke in der Sogou-Tastatur zeigt exemplarisch, welche Risiken entstehen, wenn allt\u00e4gliche Softwarekomponenten wie Eingabemethoden mit veralteten Browser-Engines ausgestattet werden und gleichzeitig tief in das Betriebssystem integrierte Protokollhandler vertrauensw\u00fcrdig behandelt werden. Tencent wird langfristig um eine grundlegende Modernisierung der Browser-Engine und eine vollst\u00e4ndige Sandboxierung nicht herumkommen. F\u00fcr Unternehmen und Nutzer in deutschsprachigen L\u00e4ndern, die m\u00f6glicherweise Sogou f\u00fcr die chinesische Texteingabe einsetzen, empfiehlt sich eine kritische Pr\u00fcfung der aktuellen Version. Der Vorfall unterstreicht zudem die Notwendigkeit, auch bei propriet\u00e4ren Eingabemethoden regelm\u00e4\u00dfig Sicherheitsupdates zu verfolgen und die Hersteller in die Pflicht zu nehmen, ihre Architektur nach aktuellen Standards auszurichten.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine kritische Sicherheitsl\u00fccke in der weit verbreiteten Sogou-Tastatur von Tencent f\u00fcr Windows wird derzeit aktiv von der chinesischen Bedrohungsgruppe UNC3569 ausgenutzt. Die Schwachstelle mit der Kennung CVE-2026-51990 erm\u00f6glicht eine Ein-Klick-Remote-Code-Ausf\u00fchrung und dient der Installation des GrayRabbit-Hintert\u00fcr-Malware. Sicherheitsforscher von Gen Digital haben den Angriff dokumentiert und warnen vor den weitreichenden Implikationen f\u00fcr die Hunderte Millionen Nutzer [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":54791,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53137.png","fifu_image_alt":"Tencent-Sicherheitsl\u00fccke in Sogou-Tastatur erm\u00f6glicht GrayRabbit-Installation","footnotes":""},"categories":[6672],"tags":[],"class_list":["post-53137","post","type-post","status-publish","format-standard","has-post-thumbnail","category-technologie"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53137.png","fifu_image_alt":"Tencent-Sicherheitsl\u00fccke in Sogou-Tastatur erm\u00f6glicht GrayRabbit-Installation","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=53137"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53137\/revisions"}],"predecessor-version":[{"id":53138,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53137\/revisions\/53138"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54791"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=53137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=53137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=53137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}