LONDON (IT BOLTWISE) – Eine Angreifergruppe mit China-Bezug soll über einen Schwachstellenkette in Sogou Input Method eine Backdoor namens GRAYRABBIT auf Windows-Rechnern platziert haben. Der Prozess startet mit einem speziell präparierten Windows-Link (sgbiz: ) und endet darin, dass ein eingebetteter Browser-Code mit Benutzerrechten läuft. Tencent hat die zentrale Link-Weitergabe im April 2026 per Update behoben, doch die zugrunde liegende Browser-Engine blieb unverändert. Für IT-Verantwortliche ist vor allem wichtig, ob betroffene Versionen bereits vor dem Fix kompromittiert wurden.
Die Angriffslogik, die in einer aktuellen Sicherheitsanalyse beschrieben wird, wirkt auf den ersten Blick wie ein klassischer „Link und dann Malware“-Fall. In der Praxis steckt aber ein recht präziser Pfad dahinter: Eine schädliche Zeichenfolge wird als Windows-Link an das System übergeben, und der Sogou-Input-Mechanismus startet daraus weitere Komponenten. Gen Digital berichtet, dass der Angriff mit einem präparierten Link begann und die Angreifer am Ende dieselben Aktionen ausführen konnten, die auch der angemeldete Benutzer durchführen darf. Damit rückt nicht nur der Schadcode in den Fokus, sondern vor allem der Zusammenspielpunkt zwischen Windows, Sogous Link-Handler und dem eingebetteten Browser, der in dieser Kette den entscheidenden Bedienfehler ausnutzt.
Technisch beginnt das Ganze mit Sogou Input Method auf Windows, das nicht als eine einzige Anwendung läuft, sondern als mehrere Komponenten. Diese kommunizieren über einen benutzerdefinierten Link-Typ mit dem Schema sgbiz: . Sobald Windows einen solchen Link öffnet, übergibt es ihn an biz_helper.exe, das wiederum den Link ausliest und die im Link referenzierte Sogou-Komponente startet. Der kritische Punkt: Der Handler prüft zwar, welche Komponente gestartet werden soll, filtert aber die Kommandozeilenargumente nicht ausreichend. Gen beschreibt, dass der Angreifer damit gezielt Parameter übergeben konnte, die anschließend ein „Skin Store“-Fenster in einem Sogou-Einstellungsprogramm anstoßen sollten – mit einer URL, die der Angreifer selbst wählt.
In diesem Skin-Store-Fenster liegt der zweite und dritte Hebel. Sogou baut nach Angaben von Gen eine eigene Version einer Chromium-Engine ein, offenbar in der Ausprägung um Version 80, die dort seit etwa März 2020 verwendet wird. Genau zwei Schutzmechanismen waren in dieser Engine-Konfiguration in den Code integriert „ausgeschaltet“: die Sandbox und die Same-Origin-Policy. Ohne Sandbox kann ein kompromittiertes Webseiten-Element aus dem Browser heraus zu Code werden, der direkt auf dem System mit den Benutzerrechten läuft. Ergänzend erlaubt die deaktivierte Same-Origin-Policy, dass Inhalte außerhalb des erwarteten Ursprungs weniger strikt voneinander getrennt sind. Gen zufolge reichte dabei ein Klick auf den präparierten Link aus; ein weiterer Schritt zur Bestätigung der eigentlichen Browser-Einspeisung soll in der beschriebenen Kette nicht erforderlich gewesen sein.
Der eingesetzte Webseiten-Exploit wiederum nutzt eine Schwäche, die ursprünglich in Googles V8-JavaScript-Engine im Kontext von Chrome diskutiert wurde: CVE-2021-38003. Gen führt aus, dass die Seite einen Exploit für genau diese Stelle mitliefert, der auf dem Verhalten von JSON.stringify aufbaut und es Angreifern ermöglicht, dass intern gedachte Werte in Bereiche gelangen, die Skripte nicht sehen sollten. So kann ein Memory-Corruption-Pfad entstehen, über den sich Code ausführen lässt. Google habe den Fix in Chrome 95 im Oktober 2021 adressiert, und auch CISA habe die Schwachstelle 2021 in einem Katalog als „known to have been exploited“ geführt. Interessant ist dabei auch die Reichweite: Gen erwähnt, dass der Sogou-Browser die Mehrzahl relevanter Chromium/V8-Fixes aus dem Zeitraum nach Version 80 nicht übernommen habe. Genau deshalb bleibt die Frage nach der Reichweite über die konkrete Skin-Store-Webansicht zwar offen, aber die grundsätzliche Angriffsfläche ist damit klar.
Was dann „landen“ soll, wird ebenfalls detailliert: Gen beschreibt, dass der Exploit einen kleinen Downloader nachlädt, der anschließend drei Dateien von einem Server abrufen soll, darunter eine legitime 7-Zip-Kopie, eine bösartige DLL und eine verschlüsselte Datei für die finale Nutzlast. Alles wird nach Gen in C: \Users\Public\Documents abgelegt. Die DLL wird dabei unter dem Namen 7z.dll gespeichert und so platziert, dass beim späteren Start ein klassischer Ladepfad funktioniert: Wird 7-Zip gestartet, lädt das Programm nicht den erwarteten Code, sondern den Angreifer-Code aus dem eigenen Ordner. Besonders ungewöhnlich ist der von Gen beschriebene Delay- und Anti-Analyse-Mechanismus: Die DLL zählt die Prozesse, bevor sie entschlüsselt, und wenn weniger als 50 Prozesse erkannt werden, wird ein falscher Schlüssel verwendet, die Payload wird „garbage“. Reale Desktops liegen in der Regel deutlich darüber, wodurch Analysten-Umgebungen diese Logik möglicherweise anders triggern.
Im weiteren Verlauf soll der Loader zudem Spuren verschleiern: Gen berichtet von einer Ablage in einem NTFS Alternate Data Stream und einer anschließenden Selbstlöschung. Für den Betrieb bedeutet das vor allem eins: Selbst nach einem erfolgreichen „Bereinigen“ könnte die bösartige DLL zu dem Zeitpunkt, an dem man nachschaut, nicht mehr auf dem Datenträger liegen. Die Backdoor trägt den Namen GRAYRABBIT und greift laut Gen unter anderem auf einen Command-and-Control-Server mit dem Domain-Namen mail.uaiubifas[.]top zu, über Port 443 – allerdings ohne TLS, sondern mit RC4-verschlüsseltem TCP-Verkehr. Genau dieses Muster sei auffällig, weil Port 443 in der Regel mit TLS verknüpft ist und Nicht-TLS-Traffic auf diesem Port in vielen Netzwerkmonitoren sonst weniger oft auftaucht.
Die entscheidende Entschärfung adressiert Tencent nach Gen am Link-Handler selbst. Der Konzern habe den gemeldeten Fehler am 9. April 2026 erhalten, die Lösung bestätigt und per automatischem Update ausgerollt. Laut Gen betrifft das die Version 16.3.0.3498 und der Rollout sei am 21. April 2026 abgeschlossen gewesen. Im Codepfad von biz_helper.exe prüft Tencent nun zwei Argumente für Webadressen: Es werden nur HTTPS-Ziele akzeptiert und Hostnames gegen eine Whitelist von vier Endungen geprüft (sogou.com, qq.com, woa.com und sogou). Gen betont dabei, dass der eigentliche Browser-Teil nicht „modernisiert“ wurde: Sandbox-Status, Security-Flags und die Chromium-80-Engine seien im gepatchten Stand weiterhin so wie zuvor. Damit verschiebt sich der Sicherheitsgewinn auf die Begrenzung des Angriffswegs über den Linkhandler – ein wichtiges Signal, aber auch ein Grund, warum betroffene Umgebungen die Zeitachse vor dem Update mitdenken müssen, falls kompromittierte Systeme bereits aktiv waren. Gen nennt außerdem Indikatoren wie SHA-256-Hashes der Dateien, darunter eine Loader-DLL als 7z.dll, eine verschlüsselte Payload-Datei sowie den GRAYRABBIT-Backdoor-Namen; gleichzeitig weisen beide Seiten darauf hin, dass öffentlich unklar bleibt, welche konkreten Sogou-Versionen am stärksten betroffen waren und wie sich der Stand auf einzelnen Rechnern zweifelsfrei prüfen lässt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sogou-Sicherheitslücke: UNC3569 installiert GRAYRABBIT-Backdoor über Windows-Linkhandler" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sogou-Sicherheitslücke: UNC3569 installiert GRAYRABBIT-Backdoor über Windows-Linkhandler" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sogou-Sicherheitslücke: UNC3569 installiert GRAYRABBIT-Backdoor über Windows-Linkhandler« bei Google Deutschland suchen, bei Bing oder Google News!