中国系UNC3569が中国語入力ソフトSogouの脆弱性CVE-2026-51990を悪用、ワンクリックでGRAYRABBITを展開とGenが報告

要点

• Gen Threat Labsは2026年9月10日、中国語入力ソフト「Sogou Input Method」のWindows版にあったリモートコード実行の脆弱性（CVE-2026-51990）について、実攻撃での悪用を確認したと報告した。報告者は同社の脅威分析エンジニアであるAlexandru-Cristian Bardaș氏だ。
• 攻撃者は細工した独自プロトコルリンク（sgbiz:）を被害者にクリックさせ、設定アプリ（SGMyInput.exe）内の古いブラウザー部品に攻撃者のURLを開かせ、JavaScriptの悪用コードで端末上でコードを実行した。Genは「3つの重大な欠陥の連鎖によるワンクリックのバックドア」だと説明している。
• 実際に悪用していたのは、中国とのつながりが指摘されるUNC3569だ。Google脅威インテリジェンスが2021年から追跡する同グループは、東アジアと東南アジアを中心に政府・教育・技術・金融を狙ってきたとされる。今回の侵入では軽量バックドア「GRAYRABBIT」が展開されていた。
• 開発元のTencentは2026年4月に自動更新で修正を配布済みだ（バージョン16.3.0.3498）。GenはSogou Input Methodの利用者に最新版への更新を求めている。

3つの弱点が連鎖した仕組み

Sogou Input MethodのWindows版は単一の実行ファイルではなく、独自プロトコル sgbiz: で連携する複数の部品で構成される。リンクを開くと biz_helper.exe が受け取り、指定されたSogouの実行ファイルを起動する。Genの分析では、この処理に次の3つの弱点があった。

1つ目は、起動引数の検証不足だ。起動対象のファイル名（module）は経路のすり抜け対策や存在確認が行われていたが、起動引数（param）はURLデコード後に無検証のまま対象プログラムへ渡されていた。攻撃者は任意の起動引数を差し込めた。

2つ目は、設定アプリの画面遷移の無検証だ。攻撃者は -page=skincenter を指定してスキン販売画面を開かせた。この画面だけがCEF（Chromium Embedded Framework）製のブラウザー表示を使い、-url 引数で渡した任意のURLをそのまま開いていた。許可リストや方式の検査はなかったとGenは報告している。

3つ目は、組み込みブラウザーが古く、隔離機構が無効だった点だ。同梱のChromiumはバージョン80（2020年3月ごろの世代）で、サンドボックスが無効化され、同一オリジンポリシーを無効にする設定も常に有効だった。Genは「過去6年分の既知の脆弱性のいずれかで悪用できる状態だった」と指摘している。

UNC3569の実攻撃：CVE-2021-38003でGRAYRABBITを展開

Genが確認した実攻撃では、攻撃者は sgbiz:sg_process?module=sgmyinput.exe&param=-page%3Dskincenter%20-url%3D... という形式のリンクを被害者に届けていた。開かれたページ（noht1ng[.]top）はV8の型混乱の脆弱性CVE-2021-38003の悪用コードを含み、Sogou同梱のChromium 80に有効だった。

悪用コードは921バイトのダウンローダーを実行し、香港のAlibaba Cloud上の公開ディレクトリー型サーバー（8.218.50[.]207）から正規の7-Zip実行ファイル、改ざんされたDLL、暗号化された最終ペイロードの3点を取得した。正規の7-Zip起動時に改ざんDLLを読み込ませるDLLサイドローディングで実行に移り、DLL内の難読化解除を経てGRAYRABBIT本体が起動した。

GRAYRABBITはUNC3569が長年使う軽量なC++製バックドアで、今回は64ビット版が確認された。C2（mail.uaiubifas[.]top、443番ポート）とは素のTCPで4096バイト単位のRC4暗号化フレームで通信し、プロセスの無音実行、対話型リモートシェル、ファイル送受信、システム情報収集、追加モジュールの読み込みなどの命令を受けた。追加モジュールは実行時に読み込まれる設計で、機能を後から拡張できる。

修正状況とGenの指摘

• Genは2026年4月9日にTencentへ報告し、Tencentは4月10日に受領、4月21日に自動更新での修正完了をGenに伝えた。修正版は16.3.0.3498で、CVE-2026-51990が割り当てられた。報告から配備まで12日間の迅速な対応だったとGenは評価している。
• 修正は biz_helper.exe 側で -url と -firsturl のURLを検査し、HTTPS以外を拒否して許可されたSogouのドメイン名の接尾辞に一致しないものを遮断する方式だ。
• 一方でGenは、修正後も組み込みブラウザー部品自体は古いままで、サンドボックス無効などの設定が残っていると指摘し、さらなる強化が必要だと述べている。

日本の読者への影響

Sogou Input Methodは中国で月間4億人超が使うとされる中国語入力ソフトで、利用者の7割のシェアを持つとの調査（トロント大学Citizen Lab、2023年）もある。日本国内の一般利用者への直接の影響は限定的だが、中国との取引先や現地拠点、中国語入力を業務で使う端末がある組織では、現地端末の更新状況の確認が必要だ。Genは利用者に最新版への更新を求めている。