استغلال ثغرة حرجة في تطبيق شينزن لنشر برمجية خبيثة

استغل مهاجمون سيبرانيون ثغرة أمنية حرجة في تطبيق سوغو لإدخال النص على نظام ويندوز، وهي الثغرة المعروفة برقم CVE-2026-51990، بهدف نشر برمجية الخلفية الخبيثة المعروفة باسم غراي رابيت. يقع هذا التطبيق تحت مظلة شركة شينزن الصينية، ويستخدمه ملايين المستخدمين لإدخال الأحرف الصينية عبر لوحة المفاتيح القياسية، كما يوفر متصفحاً مدمجاً ومعالجاً مخصصاً للروابط. كشفت شركة الأمن السيبراني جن ديجيتال عن أن هذه الثغرة تتيح تنفيذ أكواد عن بُعد بنقرة واحدة، مما يجعلها خطراً داهماً على المستخدمين. رصد فريق جن ثريت لابز استغلالاً نشطاً لهذه الثغرة في العالم الحقيقي من قبل مجموعة التهديدات UNC3569، وهي مجموعة مرتبطة بعمليات تجسس تدعمها الصين، وذلك عبر إرسال روابط مصممة خصيصاً لضحاياها. تتكون سلسلة الهجوم من ثلاث مراحل مترابطة تبدأ عندما يقوم الضحية بالنقر على رابط مخصص، مما يؤدي إلى استدعاء معالج البروتوكول الخاص بالتطبيق، والذي يمرر معاملات سطر أوامر يتحكم بها المهاجم إلى الملف التنفيذي المشروع دون التحقق منها.

تفتح هذه المعاملات المضمنة مكوّن مركز السمات في التطبيق وتوجه المتصفح المدمج لتحميل عنوان يتحكم به المهاجم، دون أن يفرض التطبيق أي قيود على نوع الرابط أو وجهته. في المرحلة الثالثة، يستغل المتصفح الخبيث ثغرة معروفة في محرك كروميوم القديم الذي يعمل دون بيئة معزولة ومع تعطيل حمايات الويب الأساسية، مما يتيح تنفيذ الأكواد وتثبيت البرمجية الخبيثة. وصف باحثو غوغل في عام 2024 برمجية غراي رابيت بأنها عائلة برمجيات خبيثة معيارية، وارتبطوها بمجموعة UNC3569 التي تعمل في مجالات الجريمة السيبرانية والتعاقدات الأمنية. النسخة التي حللها فريق جن ثريت لابز هي نسخة 64 بت أكثر نضجاً، وتتميز بمجموعة أوامر موسعة وإعدادات تحكم مشفرة باستخدام خوارزمية RC4. تشمل قدرات هذه البرمجية تنفيذ العمليات، وفتح أصداف عكسية تفاعلية، ورفع الملفات وتنزيلها، وجمع معلومات النظام والمستخدم، وتحميل الإضافات في ذاكرة المضيف.

أبلغ فريق جن ثريت لابز شركة شينزن عن هذه النتائج في التاسع من أبريل، وقامت الشركة بنشر إصلاح في الإصدار 16.3.0.3498 في الحادي والعشرين من أبريل. يقوم هذا التحديث بالتحقق من معاملات الروابط المقبولة عبر معالج البروتوكول، ويسمح فقط ببروتوكول HTTPS، ويقيّد التنقل على نطاقات معتمدة مرتبطة بالشركة وتطبيقها. ومع ذلك، حذر الباحثون من أن المتصفح الأساسي لا يزال قديماً ويعمل دون بيئة معزولة، مع بقاء العديد من حمايات الويب معطلة.