Hacker Eksploitasi Celah Aplikasi Tencent untuk Menyebarkan Malware GrayRabbit
Kelompok peretas yang diduga terkait dengan operasi spionase yang berafiliasi dengan China mengeksploitasi kerentanan kritis pada Sogou Input Method for Windows, aplikasi besutan Tencent, untuk menyebarkan malware backdoor GrayRabbit.
Kerentanan yang dilacak sebagai CVE-2026-51990 tersebut memungkinkan remote code execution (RCE) hanya dengan satu klik. Peneliti dari perusahaan keamanan siber Gen Digital mengatakan celah ini telah dieksploitasi secara aktif di dunia nyata oleh kelompok UNC3569.
“Kami mengamati kerentanan ini dieksploitasi secara aktif di dunia nyata oleh kelompok UNC3569 untuk menyebarkan backdoor GRAYRABBIT melalui sebuah link yang telah dibuat khusus.”
Sogou Input Method merupakan aplikasi Windows yang digunakan untuk mengetik karakter Mandarin menggunakan keyboard standar. Aplikasi ini juga memiliki custom link handler dan browser web bawaan berbasis Chromium Embedded Framework (CEF).
Menurut Gen Threat Labs, Sogou Input Method memiliki ratusan juta instalasi di China, sehingga eksploitasi terhadap aplikasi tersebut berpotensi memberikan jangkauan korban yang sangat luas.
Serangan Menggabungkan Tiga Kelemahan
UNC3569 tidak hanya memanfaatkan satu bug. Serangan tersebut menggabungkan tiga kelemahan pada Sogou Input Method untuk mendapatkan eksekusi kode pada komputer korban.
Ketiga masalah tersebut meliputi:
- Command-line argument injection yang tidak divalidasi melalui URI
sgbiz: - Navigasi URL tanpa pembatasan pada webview berbasis CEF
- Mesin Chromium 80 yang sudah usang dan tidak menggunakan sandbox
Rangkaian eksploitasi dimulai ketika korban mengklik sebuah link dengan format sgbiz: yang telah dimodifikasi oleh attacker.
Windows kemudian menjalankan biz_helper.exe, yaitu protocol handler milik Sogou. Masalahnya, komponen tersebut meneruskan command-line argument yang dikendalikan attacker kepada executable resmi SGMyInput.exe tanpa melakukan validasi yang memadai.
Dengan demikian, link yang tampak seperti sebuah tautan biasa dapat digunakan untuk menginstruksikan aplikasi Sogou menjalankan parameter yang dikendalikan penyerang.
Webview Sogou Digunakan untuk Membuka Situs Berbahaya
Argument yang disisipkan attacker kemudian membuka komponen skincenter milik Sogou dan menginstruksikan webview Chromium di dalamnya untuk mengakses URL yang dikendalikan attacker.
Sogou tidak membatasi scheme maupun tujuan URL yang dapat dimuat oleh webview tersebut. Kondisi ini memungkinkan attacker mengarahkan browser internal aplikasi ke halaman web berbahaya.
Tahap terakhir memanfaatkan kerentanan yang sudah diketahui pada Chromium 80, versi browser yang digunakan oleh Sogou.
Masalah menjadi semakin serius karena browser tersebut berjalan tanpa sandbox dan sejumlah perlindungan keamanan web penting telah dinonaktifkan. Kombinasi tersebut memungkinkan halaman berbahaya menjalankan exploit untuk memperoleh code execution.
Setelah berhasil mendapatkan eksekusi kode, attacker kemudian memasang GrayRabbit backdoor pada sistem korban.
GrayRabbit Memiliki Kemampuan sebagai Backdoor Modular
GrayRabbit bukan malware baru. Pada 2024, peneliti Google telah mendokumentasikan keluarga malware tersebut dan menghubungkannya dengan UNC3569, kelompok yang berbasis di China dan disebut beroperasi di lingkungan cybercrime maupun ekosistem penyedia jasa cyber contractor.
Sampel GrayRabbit yang dianalisis Gen Threat Labs merupakan varian 64-bit yang lebih matang dengan command set yang diperluas.
Konfigurasi komunikasi command-and-control (C2) pada sampel tersebut juga menggunakan encoding RC4.
Malware ini memiliki sejumlah kemampuan yang memungkinkan operator mengendalikan sistem yang telah terinfeksi, termasuk:
- Menjalankan proses pada komputer korban
- Membuka interactive reverse shell
- Mengunggah dan mengunduh file
- Mengumpulkan informasi sistem dan pengguna
- Memuat plugin secara reflective langsung ke dalam memory
Kemampuan tersebut membuat GrayRabbit dapat digunakan untuk berbagai tahap operasi pasca-kompromi, mulai dari pengumpulan informasi hingga eksekusi perintah dan pengiriman payload tambahan.
Tencent Sudah Merilis Perbaikan
Gen Threat Labs melaporkan temuan kerentanan tersebut kepada Tencent pada 9 April 2026.
Tencent kemudian merilis perbaikan melalui Sogou Input Method versi 16.3.0.3498 pada 21 April 2026.
Patch tersebut memperbaiki salah satu bagian penting dari attack chain dengan melakukan validasi terhadap argument URL yang diterima melalui protocol handler. Versi yang telah diperbaiki juga hanya mengizinkan koneksi menggunakan HTTPS dan membatasi navigasi ke domain yang telah disetujui milik Sogou dan Tencent.
Dengan pembatasan tersebut, attacker tidak lagi dapat secara bebas menggunakan protocol handler untuk mengarahkan webview ke situs berbahaya seperti pada attack chain sebelumnya.
Browser Bawaan Masih Menjadi Masalah
Meskipun vulnerability CVE-2026-51990 telah diperbaiki, Gen Threat Labs memberikan peringatan penting mengenai kondisi komponen browser Sogou.
Chromium yang digunakan masih merupakan versi lama dan tetap berjalan tanpa sandbox, sementara sejumlah perlindungan keamanan web juga masih dinonaktifkan.
Artinya, patch terhadap protocol handler berhasil memutus attack chain yang diamati pada kampanye UNC3569, tetapi tidak menghilangkan seluruh risiko yang berasal dari browser embedded tersebut.
Pengguna Sogou Input Method sebaiknya memastikan aplikasi telah diperbarui setidaknya ke versi 16.3.0.3498 atau versi yang lebih baru.
Kasus ini juga menunjukkan bagaimana komponen tambahan yang tampaknya tidak berhubungan langsung dengan fungsi utama sebuah aplikasi dapat menjadi titik masuk serangan. Dalam kasus Sogou, kombinasi protocol handler, webview, dan browser engine lama memungkinkan sebuah klik pada link berbahaya berkembang menjadi RCE dan instalasi backdoor.
Sumber: Gen Threat Labs
