Sogou-Lücke: Ein Klick öffnete Hintertür bei 455 Mio. Nutzern

Ein einziger präparierter Link genügte, um auf einem Windows-Rechner mit Sogou Input Method eine Hintertür zu installieren. Das chinesische Eingabewerkzeug gehört zu Tencent. Gen Threat Labs, die Forschungseinheit von Gen Digital, beschrieb die als CVE-2026-51990 geführte Schwachstelle in einer am 13. September 2026 veröffentlichten Analyse und erklärte, man sei nicht im Labor, sondern bei der Untersuchung eines laufenden Angriffs darauf gestoßen.

Diesen Angriff schreiben die Forscher der Gruppe UNC3569 zu. Laut The Hacker News verbindet Google Threat Intelligence die Gruppe mit China und ordnet sie der dortigen Söldner-Hacker-Szene zu; seit 2021 habe sie vor allem in Ost- und Südostasien Behörden sowie Bildungs-, Technologie- und Finanzorganisationen ins Visier genommen. SecurityWeek ergänzt, die Gruppe werde als möglicherweise mit dem chinesischen Auftragsunternehmen i-SOON verbunden beschrieben. Von einer staatlichen Steuerung ist nicht die Rede.

Bemerkenswert ist, dass keine einzelne Lücke den Angriff trug. Nach Angaben von Gen Digital verkettet der Exploit drei Schwächen: Kommandozeilenargumente, die der sgbiz:-Protokollhandler ungeprüft übernimmt, uneingeschränkte URL-Navigation in einem CEF-basierten Webview und eine Chromium-Engine der Version 80 von etwa März 2020, deren Sandbox und Same-Origin-Policy abgeschaltet sind. Gegen diese Engine nutzten die Angreifer CVE-2021-38003, eine V8-Schwachstelle, die Chrome vor Jahren geschlossen hat. The Hacker News merkt an, dass mindestens 32 von 41 katalogisierten V8-Lücken in Chrome-Versionen behoben wurden, die neuer sind als die von Sogou ausgelieferte.

Die Nutzlast war GrayRabbit. Gen Digital beschreibt ein Implantat, das Prozesse unbemerkt ausführt, interaktive Reverse Shells öffnet, Plugin-Module in den Speicher lädt, Systeminformationen sammelt und lokale Dateien an einen Command-and-Control-Server sendet, verschlüsselt per RC4 über rohe TCP-Sockets.

Gewicht bekommt die Kette durch die Reichweite. Gen Digital spricht von Hunderten Millionen Nutzern; The Hacker News nennt mehr als 455 Millionen Menschen pro Monat, rund 70 Prozent der chinesischen Eingabemethoden-Nutzer über Windows, Android und iOS.

Handeln müssen Nutzerinnen und Nutzer jetzt nicht. Gen Threat Labs meldete die Lücke am 9. April 2026 an Tencent, das den Fix am 21. April 2026 mit Version 16.3.0.3498 per automatischem Update auslieferte. Der Patch prüft URL-Argumente, lässt nur HTTPS zu und beschränkt die Navigation auf freigegebene Domains. MITRE vergab die CVE-Nummer am 10. Juli 2026.

Zwei Punkte bleiben offen. Weder Gen Digital noch Tencent haben veröffentlicht, wie viele Menschen über diese Kette tatsächlich von GrayRabbit getroffen wurden; die Zahl 455 Millionen beschreibt die Nutzerbasis, nicht die Opfer. Und SecurityWeek berichtete, dass die zugrunde liegende Chromium-Version und deren Konfiguration am 10. September noch nicht aktualisiert waren: Der konkrete Einstiegspunkt ist geschlossen, die betagte Engine darunter bleibt.