Hackers explotan un fallo de Sogou Input Method para desplegar el backdoor GrayRabbit
La vulnerabilidad CVE-2026-51990 permite ejecución remota de código con un solo clic. Tencent ya parcheó el teclado chino, pero el navegador embebido sigue sin sandbox.
El grupo de espionaje UNC3569 está explotando una vulnerabilidad crítica de Sogou Input Method, el método de entrada chino de Tencent para Windows, para desplegar el backdoor GrayRabbit. La falla es CVE-2026-51990 y permite ejecución remota de código con un solo clic: basta con que la víctima abra un enlace preparado. Gen Threat Labs, la división de investigación de Gen Digital, ha documentado la explotación en ataques reales. Tencent publicó el parche el 21 de abril en la versión 16.3.0.3498, después de recibir el aviso el 9 de abril.
Tres fallos encadenados
El ataque no depende de un solo error. Engancha tres debilidades del producto. La entrada es el manejador de protocolo sgbiz:. Windows invoca biz_helper.exe, que pasa argumentos de línea de comandos controlados por el atacante a SGMyInput.exe sin validarlos. Esos argumentos abren el componente skincenter e instruyen a su webview basado en CEF para que cargue una URL del atacante, y Sogou no restringe ni el esquema ni el destino. En el tercer paso, esa página aprovecha una vulnerabilidad conocida del motor Chromium 80 que el producto sigue arrastrando. Como el navegador corre sin sandbox y con protecciones de seguridad web desactivadas, el exploit consigue ejecutar código e instala el backdoor.
Sogou Input Method es una aplicación muy extendida en China, con cientos de millones de instalaciones según las estimaciones que manejan los investigadores. Además del teclado, el programa lleva su propio manejador de enlaces y un navegador integrado.
Un backdoor que ya tiene historial
GrayRabbit no es nuevo. En 2024, investigadores de Google lo describieron como una familia de malware modular y lo vincularon a UNC3569, un actor con sede en China que se mueve tanto en el ecosistema del cibercrimen como en el de contratistas, tal y como recoge el paper que documenta su modus operandi.
La muestra que ha analizado Gen Threat Labs es una variante de 64 bits más madura, con un conjunto de comandos ampliado y la configuración de C2 codificada en RC4. Entre sus capacidades están ejecutar procesos, abrir shells inversas interactivas, subir y descargar archivos, recopilar información del sistema y del usuario y cargar plugins en la memoria del host mediante carga reflectiva.
El parche de Tencent valida los argumentos de URL que acepta el manejador de protocolo, permite solo HTTPS y limita la navegación a dominios aprobados de Sogou y Tencent. Con eso se corta esta cadena concreta, pero el fondo del problema sigue ahí: el navegador embebido continúa siendo una versión antigua, sigue sin sandbox y mantiene buena parte de las protecciones web desactivadas. Quien tenga el producto instalado debería comprobar que está en 16.3.0.3498 o posterior, y tener presente que el eslabón débil no era el manejador de enlaces sino el motor que hay detrás.
