中国系攻撃グループが中国語入力ソフト「Sogou」の脆弱性を悪用、バックドアを展開していたことが判明

要点

• 中国系ハッカー集団「UNC3569」が、中国語入力ソフト「Sogou Input Method」Windows版の脆弱性を悪用し、バックドア「GRAYRABBIT」を標的端末に仕掛けていたことが判明した。

• 独自リンクの引数チェック不備と、2020年版の古い内蔵Chromiumでサンドボックス等の保護機能が無効化されていたことが組み合わさり、遠隔でのコード実行が可能となっていた。

• 悪用されたJavaScriptエンジンの脆弱性（CVE-2021-38003）は2021年にGoogleが修正済みだったが、ソフト側で長年放置されていた。

• 開発元のTencentは2026年4月に侵入経路を修正したものの、調査元のGen Digitalはブラウザエンジンの刷新やサンドボックスの有効化は行われていないと指摘している。

• セキュリティ企業のGen Digitalは、中国との関連が指摘されるハッカー集団「UNC3569」が、広く普及している中国語入力ソフトウェア「Sogou Input Method（搜狗輸入法）」の脆弱性を悪用し、標的の端末にバックドアを配備していたとする調査結果を公表した。細工されたリンクを経由することで、攻撃者がログイン中のユーザーと同等の権限で端末を遠隔操作できる状態になっていたという。開発元であるTencent（テンセント）は2026年4月にこの脆弱性を修正している。

4億人以上が利用する入力ソフトと侵入グループの動向

Sogou Input Methodは、中国国内で極めて高いシェアを持つ中国語入力ソフトウェアだ。トロント大学のCitizen Labが2023年に発表した調査によると、Windows、Android、iOSを合わせた月間アクティブユーザー数は4億5500万人を超え、中国の入力ソフト市場で約70%のシェアを占めている。利用者は中国国内にとどまらず、ウェブサイト訪問者のうち3.3%以上を米国が占めるなど国外にも存在する。なお、同ソフトを巡っては過去にも暗号化の不備により入力内容が外部へ漏洩する問題が報告されていた。

今回の攻撃を仕掛けたとされる「UNC3569」は、Google Threat Intelligenceが中国との関連を指摘し、同国の請負型ハッカー組織（hacker-for-hire）に位置づけているグループだ。Googleは2021年から同グループを追跡しており、東アジアや東南アジアを中心とする政府、教育、IT、金融などの分野を標的に活動を続けてきたとされる。

同グループが標的に仕掛けた「GRAYRABBIT」は、長年初期侵入に用いられている小型のバックドア（遠隔操作用の不正プログラム）だ。攻撃者にリモートコマンドシェルを提供し、端末との間で双方向のファイル送受信を可能にするほか、攻撃者サーバーから追加モジュールを随時読み込む機能を備えている。

独自リンク処理の不備と保護機能が無効化された内蔵ブラウザ

Gen Digitalが特定した脆弱性は、Sogou Input MethodのWindows版に存在する。同ソフトは複数のコンポーネントで構成されており、Windowsに登録された独自のURIスキーム「sgbiz:」を介して各コンポーネントが相互に通信を行う仕組みとなっている。

システム上で「sgbiz:」リンクが開かれると、Windowsは処理を仲介プログラム「biz_helper.exe」に渡す。このプログラムは起動対象のコンポーネント自体は確認するものの、リンクから渡されるコマンドライン引数の検証やフィルタリングを一切行っていなかった。

攻撃者はこの不備を突き、設定用プログラム「SGMyInput.exe」を指定した上で、攻撃者が用意した任意のURLを「スキンストア」画面で開くよう指示する引数を送り込んだ。スキンストアは同プログラム内で唯一ブラウザウィンドウを表示する機能であり、渡されたアドレスの検証を行わずにそのままアクセスする設計となっていた。

さらに問題となったのが、Sogouが独自にビルドして内蔵していたChromiumエンジンだ。同ソフトには2020年3月頃の「Chromium 80」が組み込まれており、コード上で「サンドボックス（悪意あるコードを隔離してシステムへの影響を防ぐ機能）」と「同一生成元ポリシー（異なるサイト間のデータ不正読み取りを防ぐ機能）」の2つの重要保護機能が無効化されていた。サンドボックスが存在しないため、ウェブページ内のスクリプト脆弱性を突くだけで、ブラウザを脱出する追加手順を踏むことなく、ユーザー権限で直接端末上でコードを実行できる状態になっていた。

2021年の既知脆弱性が放置されていた背景

攻撃者が用意したページには、「CVE-2021-38003」として知られるChromiumのJavaScriptエンジン「V8」の脆弱性を悪用するコードが仕込まれていた。この脆弱性は「JSON.stringify」の処理不備に起因し、スクリプトが参照すべきでない内部値が漏洩することで、メモリ破壊から任意のコード実行を可能にするものだ。

Googleはこの問題を2021年10月リリースの「Chrome 95」ですでに修正しており、米CISA（サイバーセキュリティ・インフラセキュリティ庁）も同年11月に悪用が確認された脆弱性カタログ（KEV）へ追加していた。また、2022年12月にはシンガポールのSTAR Labsが詳細な分析と実証コードを公開している。

しかし、Sogouの内蔵Chromiumにはこの修正が取り込まれておらず、長年にわたり放置されていた。CISAカタログに登録されている41件のV8関連の脆弱性のうち、少なくとも32件がSogouが採用するバージョン以降に修正されたものであり、大半の修正が適用されていなかったことが判明している。

修正状況と攻撃成立の条件を巡る見解

Gen Digitalは、ユーザーが悪意あるリンクをクリックするだけで感染に至ると説明している。リンクは電子メールやチャットメッセージなどを通じて届く可能性が指摘されている。

これに対し、開発元のTencentはGen Digitalの調査内で、攻撃チェーンは比較的複雑であると反論している。攻撃を成立させるには、ユーザーがブラウザのポップアッププロンプトに対して能動的に許可を与えるよう誘導するソーシャルエンジニアリングが必要であると説明した。Chromiumベースのブラウザは外部プログラムへリンクを渡す際に確認ダイアログを表示する仕様を持つが、今回の標的となったユーザーにどのような画面が表示されていたかについて、両社ともに詳細は明示していない。

Tencentは2026年4月に侵入経路となった欠陥を修正した。ただし、Gen Digitalが修正版を検証したところ、外部からの侵入経路自体は遮断されたものの、内蔵ブラウザエンジンは依然として2020年版のままであり、サンドボックスが無効化された状態も維持されていると報告している。