Um dos aplicativos mais populares para digitação em chinês no Windows tornou-se a porta de entrada para uma campanha real de ciberespionagem.
Pesquisadores da Gen Digital descobriram que o grupo rastreado como UNC3569 estava explorando uma vulnerabilidade no Sogou Input Method, software desenvolvido pela Tencent, para executar código nos computadores das vítimas e instalar o backdoor GRAYRABBIT.
A vulnerabilidade recebeu o identificador CVE-2026-51990 e foi descoberta enquanto os pesquisadores analisavam uma invasão ativa. O problema já foi corrigido pela Tencent na versão 16.3.0.3498, distribuída por atualização automática em abril de 2026.
A história, entretanto, chama atenção por um detalhe preocupante: o ataque não dependia de uma vulnerabilidade isolada. Ele combinava diferentes fraquezas do aplicativo, incluindo um mecanismo de links personalizados e um navegador incorporado baseado em uma versão do Chromium de aproximadamente seis anos atrás.
Não era exatamente uma falha em um “aplicativo qualquer” da Tencent
A informação merece uma precisão importante.
O produto afetado é especificamente o Sogou Input Method para Windows, pertencente à Tencent.
Trata-se de um Input Method Editor (IME), software utilizado para facilitar a entrada de caracteres chineses no computador.
Esse tipo de programa possui integração profunda com o sistema operacional porque precisa participar diretamente do processo de digitação.
O Sogou é particularmente relevante pela escala. Pesquisas anteriores citadas no levantamento da Gen apontam centenas de milhões de usuários mensais em diferentes plataformas.
Por isso, uma vulnerabilidade capaz de permitir execução de código nesse tipo de aplicação possui potencial significativo.
A invasão começava com um link especialmente preparado
O ponto inicial da cadeia estava em um protocolo personalizado utilizado pelo software:
sgbiz:
No Windows, aplicativos podem registrar protocolos próprios para permitir que determinados links executem funções específicas.
Um exemplo conhecido é quando clicar em determinado endereço abre automaticamente um aplicativo instalado.
No caso do Sogou, links sgbiz: eram encaminhados para um componente chamado biz_helper.exe.
O problema identificado pelos pesquisadores estava na maneira como esse componente validava as informações recebidas.
O Sogou verificava o programa, mas não verificava corretamente seus argumentos
Segundo a análise técnica, o handler verificava qual componente do Sogou deveria ser iniciado.
Porém, não fazia uma validação adequada dos argumentos de linha de comando enviados junto com a solicitação.
Essa diferença abriu espaço para manipulação.
Os atacantes conseguiram direcionar o componente SGMyInput.exe para abrir a loja de skins utilizando:
um endereço controlado pelos próprios invasores.
Esse endereço era então carregado pelo navegador incorporado ao aplicativo.
E é justamente aí que surgia a segunda parte do problema.
O navegador interno estava preso no Chromium 80
O Sogou Input Method possui seu próprio componente de navegação baseado em Chromium.
A versão encontrada pelos pesquisadores era:
Chromium 80.
Ela remonta aproximadamente a março de 2020.
Isso significa que, em 2026, o aplicativo ainda carregava um motor de navegador com vários anos de defasagem em relação às versões atuais.
Mas a idade não era o único problema.
Duas importantes proteções estavam desativadas
Segundo a Gen Digital, o navegador incorporado funcionava com mecanismos importantes de segurança desabilitados.
Entre eles estava o:
sandbox.
A sandbox existe justamente para limitar o que uma página comprometida consegue fazer fora do navegador.
Mesmo quando uma vulnerabilidade permite executar código dentro do browser, o atacante normalmente ainda precisa escapar dessa área isolada para alcançar o sistema operacional.
No Sogou, essa barreira estava desativada.
Os pesquisadores também identificaram configurações relacionadas à segurança web que reduziam ainda mais o isolamento do conteúdo carregado.
Uma vulnerabilidade antiga voltou a ser útil
Depois de conseguir direcionar o navegador incorporado para uma página controlada pelo atacante, a cadeia aproveitava uma vulnerabilidade antiga do Chromium.
A falha é identificada como:
CVE-2021-38003.
Ela havia sido corrigida pelo Google no Chrome ainda em 2021.
Mas um aplicativo que continua incorporando uma versão antiga do Chromium pode continuar carregando vulnerabilidades que já desapareceram há anos dos navegadores modernos.
Esse é um dos maiores riscos dos componentes embarcados.
Atualizar Chrome no computador não necessariamente atualiza:
o Chromium que outro programa colocou dentro dele.
Um clique poderia terminar em execução de código
Na interpretação da Gen Digital, a cadeia permitia que um link especialmente preparado conduzisse à execução de código com os privilégios do usuário conectado ao Windows.
Ou seja, a sequência era aproximadamente:
link malicioso → protocolo sgbiz: → componente do Sogou → navegador incorporado → página do atacante → exploração do Chromium → execução de código.
A Gen descreve o problema como uma vulnerabilidade de “one-click”.
Existe, porém, uma divergência importante.
Tencent diz que havia uma etapa adicional de engenharia social
A Tencent discordou parcialmente da caracterização de que simplesmente clicar no link seria suficiente em qualquer cenário.
Segundo a resposta da companhia citada pelos pesquisadores, a cadeia de exploração era relativamente complexa e exigiria engenharia social para induzir o usuário a autorizar ativamente um pop-up do navegador.
A Gen Digital sustenta que um clique poderia iniciar a cadeia.
Os detalhes públicos disponíveis não esclarecem exatamente o que todas as vítimas da campanha visualizaram durante o ataque real.
Por isso, é mais preciso dizer que a exploração começava com um link malicioso especialmente preparado e interação da vítima, em vez de afirmar que qualquer pessoa seria silenciosamente infectada apenas por visualizar uma página.
O objetivo final era instalar o GRAYRABBIT
Depois da exploração, os atacantes executavam um pequeno downloader.
Esse componente buscava três arquivos hospedados em infraestrutura localizada no Alibaba Cloud em Hong Kong.
Entre eles estava uma cópia legítima do 7-Zip.
Isso pode parecer estranho.
Por que um atacante baixaria um software legítimo?
Porque ele seria utilizado para executar uma técnica bastante conhecida de evasão:
DLL side-loading.
O programa legítimo ajudava a carregar código malicioso
Os criminosos colocavam uma DLL maliciosa no mesmo diretório do executável legítimo do 7-Zip.
Quando o programa era iniciado, acabava carregando a biblioteca controlada pelo atacante.
O resultado é interessante para o invasor porque um executável legítimo passa a funcionar como veículo para iniciar código malicioso.
Os arquivos eram colocados em:
C:\Users\Public\Documents
A cadeia então preparava a execução da carga final.
O malware também tentava identificar ambientes de análise
Antes de descriptografar completamente o payload, o loader verificava quantos processos estavam rodando no computador.
Se encontrasse menos de aproximadamente 50 processos, alterava o comportamento da rotina de descriptografia.
A lógica é simples.
Ambientes automatizados utilizados por pesquisadores para analisar malware frequentemente possuem:
menos programas;
menos serviços;
menos atividade
do que um computador utilizado por uma pessoa real.
Se o malware suspeitasse que estava sendo observado em uma sandbox, a carga poderia não funcionar corretamente.
É uma forma de:
anti-análise.
Depois, o loader tentava apagar seus rastros
Os pesquisadores também observaram técnicas destinadas a dificultar a análise forense.
O código manipulava Alternate Data Streams (ADS) do NTFS e posteriormente removia partes do loader.
O objetivo era reduzir os artefatos deixados no disco e tornar mais difícil reconstruir toda a cadeia depois da invasão.
No final desse processo permanecia a principal ferramenta do atacante:
GRAYRABBIT.
O que o GRAYRABBIT consegue fazer?
GRAYRABBIT é um backdoor utilizado anteriormente pelo UNC3569.
Ele fornece ao operador uma porta de entrada persistente para executar ações remotamente.
Entre suas capacidades estão:
execução de comandos;
envio de arquivos;
download de arquivos;
carregamento de módulos adicionais.
Na prática, depois da instalação, o computador deixa de ser apenas uma máquina explorada.
Ele se transforma em:
um ponto de acesso controlável remotamente pelo invasor.
O malware se comunicava pela porta 443 — mas não como um navegador comum
O GRAYRABBIT observado pelos pesquisadores se comunicava com seu servidor de comando e controle utilizando a porta:
443.
Essa é normalmente a porta associada a HTTPS.
Mas o malware não estava simplesmente realizando uma conexão HTTPS convencional.
A comunicação utilizava TCP com dados ofuscados por RC4, em vez de uma sessão TLS tradicional.
Esse comportamento pode oferecer uma pista para equipes de defesa.
Tráfego não-TLS inesperado na porta 443 pode justificar investigação em redes corporativas.
UNC3569 é associado a operações de espionagem
O grupo responsável pela exploração é rastreado como UNC3569.
O Google Threat Intelligence relaciona suas atividades à China e acompanha o grupo desde 2021, colocando-o no ecossistema de operadores de hack-for-hire associado ao país.
Isso não significa automaticamente que cada operação seja realizada diretamente pelo governo chinês.
Essa distinção é importante.
Atribuição técnica de um grupo a uma região ou ecossistema não identifica necessariamente:
quem contratou determinada operação.
Os alvos conhecidos estão principalmente na Ásia
O UNC3569 já foi relacionado a atividades contra organizações de setores como:
governo;
educação;
tecnologia;
finanças.
Grande parte dos alvos conhecidos está localizada no Leste e Sudeste Asiático.
Os pesquisadores não divulgaram publicamente o nome da organização comprometida na invasão que levou à descoberta da CVE-2026-51990.
Também não há, até agora, um número público confiável de computadores infectados nessa campanha.
Portanto, não seria correto afirmar que milhões de usuários foram comprometidos.
Centenas de milhões de usuários potenciais não significam centenas de milhões de vítimas
Essa diferença é fundamental.
O Sogou Input Method possui uma enorme base instalada.
Mas:
software vulnerável ≠ computador comprometido.
Para haver comprometimento, a cadeia precisava ser efetivamente explorada contra aquela máquina.
Os pesquisadores confirmaram exploração real, mas não divulgaram evidências de uma campanha atingindo toda a base de usuários.
A dimensão da instalação do produto aumenta o risco potencial.
Não determina o número real de vítimas.
A Tencent recebeu o alerta em abril
A Gen Digital informou a vulnerabilidade à Tencent em:
9 de abril de 2026.
A empresa respondeu no dia seguinte.
Em 21 de abril, informou que a correção estava concluída e seria distribuída aos usuários através de atualização automática.
Foram apenas:
12 dias entre o relatório e a correção.
A Gen Digital elogiou publicamente a velocidade da resposta.
A correção chegou na versão 16.3.0.3498
A vulnerabilidade CVE-2026-51990 foi corrigida no Sogou Input Method 16.3.0.3498.
A principal mudança ocorreu no componente biz_helper.exe.
Depois da atualização, os parâmetros capazes de carregar endereços web passaram a receber validações adicionais.
O programa passou a rejeitar URLs que não utilizassem HTTPS e a limitar os destinos permitidos.
Isso bloqueia o caminho utilizado pelos invasores para direcionar o navegador interno a uma página arbitrária.
Mas existe uma ressalva preocupante
A Gen Digital analisou os arquivos depois da correção.
E encontrou algo inesperado.
O Chromium incorporado:
continuava sendo o Chromium 80.
A sandbox:
continuava desativada.
Outras configurações de segurança questionadas pelos pesquisadores:
também permaneciam.
A correção fechou a porta utilizada no ataque.
Não reformou completamente o navegador que existia atrás dela.
Isso não significa que o exploit continue funcionando
É importante não exagerar essa conclusão.
A cadeia específica utilizada pelo UNC3569 foi interrompida pela atualização.
O atacante não consegue mais utilizar da mesma maneira o handler vulnerável para direcionar o navegador interno a qualquer endereço controlado por ele.
Portanto:
a CVE-2026-51990 foi corrigida.
A preocupação dos pesquisadores é arquitetural.
Manter um navegador extremamente antigo e sem determinadas proteções pode criar riscos adicionais caso outra forma de alcançar esse componente seja encontrada futuramente.
Aplicativos com navegadores incorporados representam um problema maior
Muitos programas modernos incluem mecanismos web internamente.
Launchers.
Aplicativos de mensagens.
Clientes corporativos.
Ferramentas de produtividade.
Jogos.
Softwares de configuração.
O usuário pode nem perceber que existe um navegador sendo executado.
Mas para o atacante:
continua sendo um navegador.
Se o componente estiver anos sem atualização, vulnerabilidades conhecidas podem permanecer disponíveis mesmo quando Chrome, Edge ou Firefox instalados no computador estão completamente atualizados.
É uma espécie de “navegador fantasma”
O usuário olha para o Chrome e vê:
versão atualizada.
Olha para o Windows:
atualizado.
Antivírus:
atualizado.
Mas dentro de algum aplicativo pode existir:
Chromium 80.
Esse componente não aparece necessariamente como navegador separado.
Ele simplesmente faz parte do programa.
Foi exatamente essa situação que tornou possível reutilizar uma vulnerabilidade do Chromium corrigida anos antes.
O incidente mostra por que dependências antigas são perigosas
A segurança de um software não depende apenas do código escrito pela própria empresa.
Depende também de todas as bibliotecas e componentes utilizados.
Um aplicativo pode incluir:
Chromium;
OpenSSL;
bibliotecas de imagem;
frameworks JavaScript;
motores multimídia.
Cada dependência precisa ser acompanhada e atualizada.
Caso contrário, vulnerabilidades antigas permanecem incorporadas ao produto.
É o problema conhecido como:
software supply chain interna.
O ataque também mostra o poder de combinar vulnerabilidades
Individualmente, cada fraqueza poderia parecer limitada.
Um protocolo que aceita argumentos demais.
Um componente que abre uma URL.
Um Chromium antigo.
Uma sandbox desativada.
Mas o atacante não precisa necessariamente encontrar uma única vulnerabilidade perfeita.
Ele pode combinar:
várias falhas menores em uma cadeia de ataque.
Esse é um dos padrões mais importantes da exploração moderna.
A pergunta não é apenas:
“essa vulnerabilidade é crítica?”
Também é:
“o que acontece quando ela é combinada com outra?”
Usuários devem atualizar o Sogou Input Method
A principal recomendação é objetiva.
Máquinas Windows que utilizam o Sogou Input Method devem estar atualizadas para pelo menos a versão:
16.3.0.3498.
Segundo a Tencent, a atualização foi distribuída automaticamente em abril.
Organizações, entretanto, podem verificar manualmente suas instalações, principalmente em ambientes gerenciados onde atualizações automáticas podem ser bloqueadas ou atrasadas.
Atualizar agora não necessariamente remove uma infecção antiga
Existe outra distinção importante.
Instalar o patch fecha:
a vulnerabilidade.
Isso não significa automaticamente remover:
um GRAYRABBIT já instalado.
Se uma máquina foi comprometida antes da atualização, a simples correção do Sogou não deve ser tratada como garantia de limpeza do sistema.
Nesse cenário, equipes de segurança precisam procurar indicadores de comprometimento e investigar atividade relacionada ao backdoor.
O caso é um alerta muito maior do que uma falha no Sogou
A descoberta começou durante uma investigação de ataque.
Os pesquisadores seguiram a cadeia.
Encontraram um protocolo personalizado.
Depois um navegador incorporado.
Depois um Chromium de 2020.
Depois uma vulnerabilidade de 2021.
E finalmente chegaram ao GRAYRABBIT.
Esse caminho mostra como ataques sofisticados podem explorar componentes que aparentemente não têm qualquer relação com segurança.
Um programa utilizado simplesmente para:
digitar caracteres chineses
acabou funcionando como porta de entrada para uma operação de ciberespionagem.
E talvez essa seja a parte mais importante da história.
No mundo atual, qualquer aplicativo que execute código, carregue páginas, interprete links ou possua componentes conectados à internet pode se tornar parte da superfície de ataque.
A Tencent fechou o vetor utilizado pelo UNC3569.
Mas a descoberta da Gen Digital deixa um alerta para toda a indústria: componentes web antigos escondidos dentro de aplicativos podem manter vulnerabilidades vivas durante anos — mesmo depois de os navegadores principais já terem esquecido que elas existiram.
