Hackers exploit Tencent app flaw to deploy GrayRabbit malware
Mis à jour :
Vulnérabilité critique dans Tencent Sogou Input Method exploitée par GrayRabbit
Le groupe de menace UNC3569 exploite une faille critique dans l’application Sogou Input Method de Tencent pour déployer la porte dérobée (backdoor) GrayRabbit. Cette attaque, qui repose sur une exécution de code à distance (RCE) en un clic, cible les utilisateurs Windows.
Points clés de l’attaque :
- Vecteur d’infection : L’attaque utilise un lien personnalisé malveillant (
sgbiz:) envoyé à la victime. - Chaîne d’exploitation : Les attaquants combinent trois faiblesses : injection d’arguments en ligne de commande, navigation URL non restreinte dans un composant webview, et utilisation d’un moteur Chromium obsolète (version 80) dépourvu de “sandbox”.
- Capacités de GrayRabbit : Ce malware modulaire permet l’exécution de processus, l’accès à des shells inversés, le transfert de fichiers, l’exfiltration de données et le chargement de plugins en mémoire.
Vulnérabilité identifiée :
- CVE-2026-51990 : Faille critique permettant l’exécution de code à distance via une mauvaise gestion des arguments dans le protocole de l’application.
Recommandations :
- Mise à jour immédiate : Appliquer la version 16.3.0.3498 ou supérieure de Sogou Input Method, qui corrige la validation des arguments et restreint les domaines autorisés.
- Vigilance persistante : Malgré le correctif, les chercheurs soulignent que le moteur de navigation interne reste obsolète et vulnérable. Il est conseillé de surveiller les activités suspectes liées aux processus Sogou ou, si possible, de limiter l’utilisation de logiciels tiers présentant des architectures de sécurité vieillissantes.