O backdoor GrayRabbit voltou ao centro das atenções após uma investigação da Gen Threat Labs identificar a exploração real de uma falha crítica no Sogou Input Method, software de entrada de texto desenvolvido pela Sogou, empresa pertencente à Tencent. A vulnerabilidade, registrada como CVE-2026-51990, permitiu que o grupo de ameaça UNC3569 transformasse um link especialmente preparado em uma porta de entrada para execução de código no Windows.
O caso chama atenção não apenas pelo malware envolvido, mas pela combinação de três problemas de arquitetura. O aplicativo aceitava parâmetros não validados por meio de um protocolo de URL próprio, podia direcionar seu navegador interno para endereços controlados por terceiros e utilizava uma versão antiga do Chromium 80, com mecanismos importantes de isolamento desativados. Na prática, uma cadeia de falhas permitiu chegar à execução de código com os privilégios do usuário conectado.
A descoberta também reforça um problema que vai muito além do Sogou: aplicações de terceiros que incorporam navegadores, frameworks e outros componentes desatualizados podem criar superfícies de ataque que passam despercebidas nas ferramentas tradicionais de segurança.
Como funciona a cadeia de ataque do grupo UNC3569
A exploração observada pela Gen ocorreu em uma intrusão real atribuída ao UNC3569, grupo de espionagem associado à China que já foi relacionado ao uso do GRAYRABBIT em outras operações. A cadeia pode ser entendida em três etapas principais.
1. O protocolo sgbiz: permite controlar argumentos
O primeiro problema estava no protocolo personalizado sgbiz:, registrado pelo Sogou no Windows para permitir que diferentes componentes do aplicativo se comunicassem.
Quando uma URL desse tipo era acionada, o biz_helper.exe recebia a solicitação e iniciava um componente do Sogou. A validação verificava determinados parâmetros, como o programa que deveria ser executado, mas não aplicava controles equivalentes aos argumentos entregues a esse processo.
Isso permitia que um atacante construísse um link contendo parâmetros controlados por ele e direcionasse o fluxo para o SGMyInput.exe. A falha não estava simplesmente na existência do protocolo personalizado, mas na confiança excessiva depositada nos dados recebidos por ele.
2. O SGMyInput.exe abre o navegador interno
Na segunda etapa, os parâmetros manipulados faziam o SGMyInput.exe acessar a área skincenter, componente utilizado para exibir a loja de skins do aplicativo.
O problema é que essa interface utilizava um navegador baseado no Chromium Embedded Framework (CEF) e aceitava uma URL fornecida pelos argumentos do processo sem uma validação adequada do destino.
Com isso, o atacante conseguia fazer o navegador incorporado carregar uma página sob seu controle. A cadeia transformava um simples mecanismo de navegação em um ponto de passagem entre um link externo e componentes privilegiados do aplicativo.
3. O Chromium 80 transforma a navegação em execução de código
A terceira etapa é especialmente importante para entender a gravidade do caso.
O Sogou utilizava uma versão antiga do Chromium 80, da geração de 2020. Segundo a análise publicada pela Gen, o navegador incorporado mantinha o sandbox desativado, além de configurações que também enfraqueciam a same-origin policy, mecanismo fundamental para impedir que uma página acesse livremente recursos pertencentes a outros contextos de segurança.
A página maliciosa utilizada na intrusão explorava ainda a vulnerabilidade CVE-2021-38003, uma falha do mecanismo V8 que já havia sido corrigida em versões modernas do Chrome. Nesse ambiente antigo e com o isolamento comprometido, a exploração conseguia sair do contexto esperado do navegador e executar código com os privilégios do usuário.
O resultado foi uma cadeia que começou com um link sgbiz: especialmente preparado, passou pelo biz_helper.exe, chegou ao SGMyInput.exe, abriu uma página controlada pelo atacante e terminou com a execução de código no sistema.
O que é o backdoor GrayRabbit e quais são seus riscos
O GRAYRABBIT é uma família de backdoors associada ao UNC3569 e utilizada pelo grupo como ferramenta de acesso inicial e pós-exploração. A família já foi observada em diferentes campanhas e variantes, incluindo versões para sistemas Windows de 32 e 64 bits.
A variante de 64 bits identificada na campanha possui uma arquitetura relativamente leve, mas oferece recursos suficientes para transformar uma máquina comprometida em um ponto de controle remoto.
Entre suas capacidades estão execução de comandos, operações com arquivos, coleta de informações do sistema, execução de processos e carregamento de módulos adicionais. O suporte a plugins permite que o operador amplie as funções do malware depois que a infecção já foi estabelecida.
Esse modelo é particularmente útil em operações de espionagem porque reduz a necessidade de instalar imediatamente um conjunto grande de ferramentas. O invasor pode manter um componente inicial pequeno e carregar funcionalidades adicionais conforme o objetivo da operação.
No caso investigado, a instalação do malware GrayRabbit ocorreu depois da exploração do navegador incorporado. A cadeia também envolveu técnicas adicionais para obter e executar os componentes maliciosos, demonstrando como uma vulnerabilidade aparentemente específica de um aplicativo pode servir como primeiro estágio de uma operação muito maior.
Por que navegadores embutidos são um risco importante
O caso do Sogou apresenta uma lição que deve interessar diretamente a administradores de sistemas: um navegador embutido continua sendo um navegador, mesmo quando aparece apenas como uma pequena janela dentro de outro aplicativo.
Quando um software incorpora Chromium, CEF, WebView ou outro mecanismo de renderização, ele passa a carregar uma parcela significativa da superfície de ataque de um navegador convencional. Se o componente não recebe atualizações frequentes, vulnerabilidades antigas podem permanecer disponíveis mesmo quando o navegador principal do computador está atualizado.
O problema se torna ainda mais grave quando o sandbox é desativado. O isolamento existe justamente para limitar o impacto de uma exploração dentro do mecanismo de renderização. Sem essa camada, uma falha no navegador pode ficar muito mais próxima da execução de código no sistema operacional.
Por isso, a segurança de uma aplicação não depende apenas do código desenvolvido diretamente pelo fornecedor. Dependências incorporadas, bibliotecas, engines de navegador, frameworks e protocolos personalizados também precisam fazer parte do ciclo de auditoria e atualização.
A resposta da Tencent e os riscos persistentes
A vulnerabilidade foi comunicada à Tencent em 9 de abril de 2026. Segundo a Gen, a empresa confirmou o recebimento no dia seguinte e informou em 21 de abril que a correção havia sido distribuída por atualização automática na versão 16.3.0.3498 do Sogou Input Method. O identificador CVE-2026-51990 foi posteriormente atribuído ao problema.
A resposta foi rápida, mas existe uma diferença importante entre corrigir o vetor específico explorado e eliminar todos os riscos estruturais encontrados durante a investigação.
A correção concentrou-se no biz_helper.exe, acrescentando validações para URLs utilizadas pelos argumentos, restringindo requisições que não utilizassem HTTPS e aplicando verificações aos domínios permitidos.
Entretanto, segundo a análise da Gen, o navegador incorporado continuou baseado no Chromium 80, com as configurações de segurança anteriormente identificadas ainda presentes. Ou seja, a porta de entrada explorada pelo UNC3569 foi fechada, mas o componente subjacente permaneceu tecnologicamente antigo.
Para desenvolvedores, a lição é clara: corrigir a validação de entrada é fundamental, mas não substitui a atualização das dependências. Para administradores, isso significa que a simples verificação de versões dos navegadores instalados no sistema pode não ser suficiente.
É necessário conhecer também quais aplicações carregam suas próprias engines, quais versões utilizam e quais mecanismos de isolamento estão ativos.
Conclusão
A CVE-2026-51990 mostra como vulnerabilidades aparentemente independentes podem formar uma cadeia de ataque extremamente perigosa. Um protocolo personalizado sem validação adequada permitiu controlar argumentos, o SGMyInput.exe abriu uma URL arbitrária e um Chromium 80 sem sandbox adequado forneceu o ambiente necessário para transformar a navegação em execução de código.
O resultado foi a instalação do backdoor GrayRabbit, concedendo ao UNC3569 uma capacidade de controle remoto sobre o sistema comprometido.
Para usuários do Sogou Input Method, a prioridade é garantir que o software esteja na versão 16.3.0.3498 ou posterior. Para equipes de segurança, entretanto, o caso oferece uma lição mais ampla: aplicações de terceiros devem ser tratadas como parte efetiva da superfície de ataque da organização.
