中国系スパイ集団がテンセント製アプリの脆弱性を悪用し、バックドアを配布

中国に連関するスパイ活動を行う脅威グループが、テンセント社が開発したWindows向け中国語入力ソフト「搜狗输入法」の重大な脆弱性を悪用し、バックドア型マルウェア「GrayRabbit」を配布している。この脆弱性はCVE-2026-51990として登録されており、ワンクリックでリモートコード実行が可能となる問題である。

サイバーセキュリティ企業Gen Digitalの研究者らは、この脆弱性が野良で実際に悪用されていることを確認した。攻撃は、攻撃者が作成した特殊なリンクをクリックさせることで始まる。ユーザーがそのリンクを開くと、Windowsが搜狗の補助プログラムを呼び出し、攻撃者が制御するコマンドライン引数が検証なしに正規の実行ファイルに渡される。これにより、搜狗のスキンセンターコンポーネントが起動し、組み込まれたブラウザが攻撃者の指定するURLを読み込むよう指示される。搜狗はURLのスキームや目的地を制限していないため、この段階で攻撃者の意図したページへ移動する。

攻撃の第三段階では、搜狗に組み込まれた古いChromium 80エンジン既知の脆弱性が悪用される。このブラウザはサンドボックスなしで動作し、重要なWebセキュリティ保護が無効化されているため、コード実行が可能となり、GrayRabbitバックドアがインストールされる。2024年にGoogleの研究者らがGrayRabbitをモジュール型マルウェアとして報告し、中国に拠点を置く脅威アクターUNC3569との関連を指摘していた。Gen Threat Labsが分析した標本は、より成熟した64ビット版であり、コマンドセットが拡張され、RC4暗号化されたコマンド・アンド・コントロール設定を備えている。その機能には、プロセス実行、インタラクティブなリバースシェル起動、ファイルのアップロードとダウンロード、システムおよびユーザー情報の収集、ホストメモリへのプラグインの反射的読み込みが含まれる。

Gen Threat Labsは4月9日にテンセント社へ調査結果を報告した。テンセント社は4月21日に搜狗输入法のバージョン16.3.0.3498をリリースし、修正を適用した。このパッチはプロトコルハンドラ経由で受け取るURL引数を検証し、HTTPSのみを許可するとともに、搜狗およびテンセントに関連する承認済みドメインへのナビゲーションを制限する。しかし、研究者らは、根本的なブラウザが依然として古く、サンドボックスなしで動作し、多くのWebセキュリティ保護が無効化されたままであることを警告している。搜狗输入法は中国で数億件のインストール数を誇ると伝えられている。