Китайская группировка UNC3569 использовала уязвимость в Sogou Input Method для установки бэкдора GRAYRABBIT

Исследователи компании Gen Digital опубликовали отчёт, в котором описывается кампания китайской хакерской группировки UNC3569. Злоумышленники эксплуатировали уязвимость в Sogou Input Method — одном из наиболее широко используемых инструментов для ввода китайских иероглифов на Windows. Целью атаки была установка бэкдора GRAYRABBIT на компьютеры жертв. Атака начиналась с精心 подготовленной ссылки. Переход по ней запускал цепочку эксплуатации уязвимости, результатом которой становилось выполнение вредоносного кода на системе жертвы. По данным Gen Digital, в итоге атакующий получал возможность делать всё, что доступно вошедшему в систему пользователю. Это означает полный контроль над учётной записью в рамках её прав: доступ к файлам, установку программ, работу с сохранёнными данными и подключёнными сервисами.

Подробности

Ключевым элементом кампании стала уязвимость в Sogou Input Method — продукте, который принадлежит компании Tencent. Именно широкое распространение этого метода ввода делает атаку особенно опасной: потенциально под угрозой находятся миллионы пользователей Windows, использующих его для набора китайских иероглифов. Схема атаки включала несколько этапов. Сначала жертве отправлялась специально сформированная ссылка. При её открытии срабатывал эксплойт, использовавший уязвимость в Sogou Input Method. Успешная эксплуатация позволяла установить на устройство бэкдор GRAYRABBIT, который обеспечивал злоумышленникам удалённый доступ и возможность закрепления в системе. Gen Digital связывает эту деятельность с группировкой UNC3569, которую относят к числу угроз, ассоциируемых с Китаем. Отмечается, что конечная цель атаки — получить на compromised машине те же возможности, что и у легитимного пользователя. Это существенно расширяет потенциал для дальнейшего развития атаки: от сбора конфиденциальной информации до горизонтального перемещения по сети. На момент публикации исследования конкретные детали о номере CVE и точных версиях Sogou Input Method, подверженных уязвимости, в исходном сообщении не раскрывались.

Что делать

- Обновите Sogou Input Method до актуальной версии. Производитель, как правило, выпускает патчи для устранения подобных уязвимостей — установка последней версии критически важна. - Не переходите по ссылкам из подозрительных или неожиданных сообщений, особенно если они пришли от незнакомых отправителей или выглядят нехарактерно для привычной коммуникации. - Проверьте систему на наличие признаков компрометации с помощью антивирусного ПО и решений класса EDR. - Ограничьте права пользователей: работа под учётной записью с минимально необходимыми привилегиями снижает ущерб в случае эксплуатации уязвимости. - Следите за официальными публикациями Tencent и рекомендациями вендоров по устранению уязвимости. - Для организаций: включите мониторинг подозрительной активности, связанной с процессами метода ввода, и контролируйте исходящие соединения на предмет аномалий. Итог: эксплуатация уязвимости в широко распространённом Sogou Input Method демонстрирует, что даже привычные инструменты ввода могут становиться вектором для целевых атак. Своевременное обновление ПО и осторожность при переходе по ссылкам остаются базовыми, но эффективными мерами защиты.

Источник: The Hacker News