חוקרי Gen Digital חשפו כיצד קבוצת התקיפה הסינית UNC3569 ניצלה שרשרת פגיעויות בתוכנת ההקלדה Sogou Input Method — הנפוצה ביותר להקלדת סינית ב-Windows, עם למעלה מ-455 מיליון משתמשים פעילים בחודש — כדי להתקין דלת אחורית בשם GRAYRABBIT. החוקרים גילו את הפגיעות תוך כדי חקירת חדירה פעילה של הקבוצה אצל קורבן אמיתי.
| מזהה | CVE-2026-51990 |
| מוצר וגרסאות מושפעות | Sogou Input Method for Windows, גרסאות שקדמו ל-16.3.0.3498 |
| חומרה (CVSS) | לא פורסם |
| מנוצל בפועל | כן — תועד בחדירה פעילה |
| סטטוס תיקון | תוקן חלקית באפריל 2026; מנוע הדפדפן הפנימי נותר ללא תיקון |
מה קרה
הפגיעות מתחילה במטפל קישורים ייעודי בשם sgbiz: שדרכו רכיבי Sogou מתקשרים ביניהם ב-Windows. המטפל בודק איזה רכיב להפעיל, אך אינו מסנן את הפרמטרים שהוא מעביר אליו. קישור זדוני יכול להורות לרכיב הגדרות של Sogou לפתוח כתובת שנשלטת על ידי התוקף — בתוך דפדפן Chromium 80 מיושן (מ-2020) שמוטמע בתוכנה, שבו הגנת ה-sandbox ומדיניות המקור המשותף כבויות. מהעמוד הזדוני מופעל ניצול ישן ומוכר (CVE-2021-38003), שמוריד קובצי 7-Zip תקינים לכאורה יחד עם DLL זדוני שמתקין בסופו של דבר את GRAYRABBIT — דלת אחורית קטנה שמעניקה לתוקף שורת פקודה מרוחקת, העברת קבצים דו-כיוונית וטעינת מודולים נוספים מהשרת שלו.
Tencent, בעלת Sogou, תיקנה את המטפל הפגום בגרסה 16.3.0.3498 מאפריל 2026, כ-12 יום אחרי הדיווח הראשוני. אלא שלפי Gen Digital התיקון טיפל רק בוולידציה של הפרמטרים ובחסימת דומיינים שאינם ברשימת ההיתרים — ואילו מנוע הדפדפן הפגיע עצמו, כולל כיבוי ה-sandbox, נשאר ללא שינוי. הקבוצה UNC3569, המזוהה על ידי Google Threat Intelligence כפעילה בזירת ה"האקרים בשכר" הסינית, מיקדה עד כה את הפעילות בעיקר בגופי ממשל, חינוך, טכנולוגיה ופיננסים במזרח ובדרום-מזרח אסיה.
נקודות לשים לב
- ודאו עדכון Sogou Input Method לגרסה 16.3.0.3498 ומעלה בכל תחנה שבה מותקנת התוכנה — רלוונטי בעיקר לארגונים עם עובדים או שותפים דוברי סינית.
- העדכון אינו פותר את הבעיה במלואה: מנוע הדפדפן הפנימי הישן עדיין חשוף. בארגונים רגישים (ממשל, פיננסים) שווה לשקול הסרת התוכנה אם אינה הכרחית.
- בדקו תחנות שבהן הותקנה Sogou לפני העדכון אחר עקבות בתיקייה
C:\Users\Public\Documents, שם החוקרים מצאו שרידי התקנה של הדלת האחורית. - חפשו ביומני התקשורת (logs) תעבורת רשת יוצאת חריגה, לא מוצפנת כראוי, לכתובת השליטה שדווחה — סימן לתקשורת עם שרת הפיקוד של GRAYRABBIT.
- מדובר בפגיעות שמנוצלת כרגע בעיקר נגד יעדים ממוקדים באסיה, לא בקמפיין המוני — אך היקף ההתקנות של Sogou בעולם הופך כל תחנה שבה היא מותקנת ליעד פוטנציאלי.
מקורות: Gen Digital · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
