Tencent ha tappato la falla Sogou in 12 giorni, ma ha lasciato il browser del

Il 10 settembre 2026, Google Threat Intelligence ha documentato una campagna del gruppo cinese UNC3569 che ha convertito Sogou Input Method — il metodo di input cinese più diffuso al mondo, con circa 455 milioni di utenti mensili — da utility di produttività a vettore di compromissione APT. L'attacco ha preso di mira Windows, non Android o iOS, ed ha installato il backdoor GRAYRABBIT attraverso una catena di exploit che inizia con un link craftato e finisce con l'esecuzione di codice arbitrario nel contesto dell'utente loggato. La risposta di Tencent, arrivata in 12 giorni, ha sanato il problema immediato ma ha lasciato intatto un motore browser risalente al marzo 2020.

La catena che trasforma un link in un backdoor

L'attacco inizia con un link sgbiz: malformato. Il file biz_helper.exe di Sogou gestisce questi URI personalizzati senza filtrare gli argomenti da riga di comando, permettendo di passare parametri arbitrari a SGMyInput.exe. Questo componente apre lo "skin store" di Sogou puntandolo a un URL controllato dall'attaccante.

Qui si innesca la seconda fase. Lo skin store non si apre nel browser di sistema, ma in una finestra proprietaria che esegue una build di Chromium 80, datata marzo 2020. Secondo l'analisi di Gen Digital, riportata da The Hacker News, in questa build la sandbox è disabilitata e la same-origin policy è spenta. Non è una configurazione smarrita: è codice compilato con queste protezioni rimosse.

La pagina malevola sfrutta CVE-2021-38003, una vulnerabilità nel motore JavaScript V8 legata a JSON.stringify. Il bug, patchato da Google nell'ottobre 2021 e inserito nel catalogo KEV di CISA il 3 novembre 2021, consente esecuzione di codice arbitrario. Secondo Gen Digital, citato da The Hacker News, "the attack started with a crafted link and ended with the attacker able to do anything the logged-in user could do".

Delle 41 vulnerabilità V8 nel catalogo CISA, almeno 32 sono state corrette in versioni di Chrome successive alla 80 usata da Sogou. L'applicazione rimane quindi esposta a una superficie di attacco V8 non aggiornata da oltre cinque anni.

GRAYRABBIT: anti-VM, side-loading e C2 su porta 443 senza TLS

Dopo l'exploit V8, il payload scarica tre elementi in C:\Users\Public\Documents: l'eseguibile legittimo 7z.exe, una DLL malevola rinominata 7z.dll, e un file cifrato denominato p. Il side-loading sfrutta il caricamento automatico della DLL all'avvio di 7-Zip: il codice malevolo viene eseguito nel contesto di un'applicazione attendibile.

La DLL incorpora una difesa anti-analisi: conta i processi in esecuzione sulla macchina. Se il numero è inferiore a 50 — soglia tipica di ambienti sandbox automatizzati — genera una chiave di decifratura errata, rendendo il payload indecifrabile. Sopra la soglia, il file p viene decifrato e installa il backdoor GRAYRABBIT.

La comunicazione con il server di comando e controllo avviene su mail.uaiubifas[.]top, porta 443. La porta è quella tipica di TLS, ma il traffico è TCP plain con cifratura RC4 — un protocollo che mimetizza il traffico HTTPS senza implementarne la sicurezza.

"Il motore browser integrato è ancora la versione del 2020, e la sua sandbox è ancora spenta. Ciò che è cambiato è che un estraneo non può più puntarlo verso un indirizzo a sua scelta tramite il gestore di link. Gen ha detto che quei componenti necessitano di più lavoro." — Gen Digital, via The Hacker News

Il fix parziale di Tencent: reattivo, non strutturale

Gen Digital ha divulgato la vulnerabilità a Tencent il 9 aprile 2026. La risposta è arrivata in un giorno; il fix, nella versione 16.3.0.3498, è stato rilasciato il 21 aprile 2026 — 12 giorni dal report. Veloce, ma incompleto.

L'aggiornamento modifica biz_helper.exe imponendo HTTPS e restringendo gli hostname consentiti a sogou.com, qq.com, woa.com e sogou. Non aggiorna il motore browser. Chromium 80 con sandbox disabilitata rimane nel codice. Secondo Gen Digital, "what has changed is that an outsider can no longer point it at an address of their choosing via the link handler".

C'è una divergenza non risolta tra le valutazioni di Gen Digital e di Tencent. Gen descrive la catena come "relatively complex", ma Tencent ha risposto che l'attaccante avrebbe bisogno di ingegneria sociale per "ottenere che l'utente autorizzi attivamente il prompt del browser". Il brief non chiarice se l'exploit possa funzionare senza questa interazione.

Il brief non specifica inoltre quali versioni precedenti fossero vulnerabili, come verificare la versione installata su un endpoint, né se l'aggiornamento rimuova un backdoor già in esecuzione. Non emergono dati sul numero di vittime effettive.

Cosa fare adesso

• Verificare la presenza di Sogou Input Method nei sistemi Windows aziendali, anche fuori dalla Cina: il 3,3% del traffico sul sito Sogou proviene dagli Stati Uniti secondo la stima citata da The Hacker News
• Confermare l'aggiornamento alla versione 16.3.0.3498 o successiva se il software è effettivamente in uso; il brief non documenta metodi di verifica automatica
• Cercare indicatori di compromissione legati al dominio mail.uaiubifas[.]top e ai file in C:\Users\Public\Documents (7z.exe, 7z.dll, file p)
• Valutare la rimozione di Sogou Input Method dove non sia necessario per la produttività utente, data la persistenza del motore browser non aggiornato

Perché questo incidente ridefinisce il perimetro di sicurezza

Il caso Sogou non è una vulnerabilità in un browser che tutti sanno di avere. È una falla in un software che gli utenti installano per digitare più velocemente, e che include di nascosto un intero motore di rendering web con protezioni disabilitate. La logica di confine tradizionale — patchare Chrome, aggiornare Edge — non copre componenti embedded in applicazioni apparentemente innocue.

Tencent ha dimostrato velocità di risposta ma non profondità di manutenzione. Il fix filtra il vettore di ingresso ma non rimuove la vulnerabilità sottostante: un browser del 2020 senza sandbox resta codice eseguibile su milioni di endpoint. Per le organizzazioni, questo significa che l'inventario del software non basta più; serve una mappatura dei motori di rendering incorporati, dei loro cicli di vita e delle loro configurazioni di sicurezza.

Il brief non documenta se altre delle 32+ vulnerabilità V8 post-v80 siano raggiungibili attraverso lo skin store o altri percorsi. Fino a che Tencent non aggiornerà il motore, questa domanda resta aperta — e il residuo rischio, tecnico non ipotetico.

Fonti

• https://thehackernews.com/2026/09/china-linked-unc3569-exploited-sogou.html
• https://blog.netmanageit.com/hackers-exploit-tencent-app-flaw-to-deploy-grayrabbit-malware/
• https://radar.offseq.com/threat/hackers-exploit-tencent-app-flaw-to-deploy-grayrabbit-malware-edc5044d45989d2e
• https://nvd.nist.gov/vuln/detail/CVE-2021-38003
• https://cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2023/08/encryption-flaws-in-popular-chinese.html

FAQ

CVE-2026-51990 o CVE-2021-38003: qual è la vulnerabilità di Sogou?

CVE-2026-51990 è la vulnerabilità specifica di Sogou Input Method nel gestore sgbiz:. CVE-2021-38003 è il bug V8 sfruttato nella catena di exploit dopo l'apertura del browser. Sono due vulnerabilità distinte in due componenti diversi.

L'attacco funziona anche se l'utente non clicca nulla?

Il brief documenta una divergenza. Gen Digital non menziona requisiti di interazione utente; Tencent afferma che servirebbe "autorizzazione attiva" al prompt del browser. Il brief non risolve questa discrepanza.

Il fix di Tencent protegge completamente?

No. Il fix limita il vettore sgbiz: ma lascia inalterato Chromium 80 con sandbox disabilitata. Secondo Gen Digital, "those components need more work".

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/russian-state-sponsored-hackers-use.html
• https://thehackernews.uk/ai-security-guide-b