ALEXA.ID — Kelompok peretas berstatus hacker-for-hire yang ditengarai terafiliasi dengan Tiongkok, UNC3569, memanfaatkan celah keamanan pada aplikasi papan ketik populer Sogou Input Method versi Windows. Melalui celah ini, penyerang berhasil menyusupkan program jahat (backdoor) GRAYRABBIT ke komputer korban hanya dengan memicu tautan khusus.
Laporan riset terbaru dari perusahaan keamanan siber Gen Digital mengungkapkan bahwa kelemahan sistemik pada arsitektur perangkat lunak milik Tencent tersebut memberi akses penuh bagi peretas untuk mengontrol perangkat yang terinfeksi. Pembaruan keamanan kini telah dirilis untuk menutup celah eksploitasi tersebut.
Bagaimana Tautan Jahat Menembus Pertahanan Sistem
Aplikasi Sogou Input Method versi Windows tidak berjalan sebagai satu program tunggal, melainkan gabungan sejumlah komponen yang saling berkomunikasi menggunakan skema penangan tautan kustom sgbiz:. Saat tautan tersebut dibuka, sistem operasi Windows secara otomatis menyerahkan perintah kepada komponen biz_helper.exe.
Hasil analisis Gen Digital menunjukkan bahwa biz_helper.exe tidak melakukan verifikasi atau penyaringan terhadap argumen baris perintah (command-line arguments) yang dikirimkan. Penyerang memanfaatkan kelemahan ini dengan mengarahkan tautan ke program pengaturan SGMyInput.exe untuk membuka fitur toko tampilan (skin store)—satu-satunya halaman yang mengaktifkan peramban internal aplikasi.
Peramban internal tersebut dibangun menggunakan mesin Chromium versi 80 yang dirilis sekitar Maret 2020. Di dalam kode aplikasi, fitur keamanan krusial seperti sandbox dan same-origin policy sengaja dimatikan oleh pengembang. Ketiadaan sandbox membuat kode berbahaya berbahasa JavaScript dapat langsung mengeksekusi perintah di komputer korban dengan tingkat akses pengguna yang sedang masuk.
Eksploitasi Celah Keamanan Lama dan Modus Penyusupan
Halaman web buatan peretas memanfaatkan kerentanan tua pada mesin JavaScript V8, yakni CVE-2021-38003. Celah yang telah ditambal Google pada Chrome versi 95 sejak Oktober 2021 tersebut tidak pernah diperbarui oleh pengembang Sogou Input Method. Laporan The Hacker News mencatat sedikitnya 32 dari 41 celah keamanan V8 yang terdaftar di katalog CISA masih terbuka pada mesin peramban yang digunakan aplikasi tersebut.
Setelah tautan berhasil dieksekusi, skrip berbahaya mengunduh tiga file dari server Alibaba Cloud di Hong Kong ke direktori C:\Users\Public\Documents. File tersebut terdiri dari aplikasi legal 7-Zip, pustaka DLL jahat, serta berkas terenkripsi yang memuat payload utama.
Peretas menggunakan teknik DLL side-loading, di mana aplikasi 7-Zip secara otomatis memuat DLL jahat saat dijalankan. Pustaka berbahaya ini terlebih dahulu memeriksa jumlah proses yang sedang aktif di komputer target. Jika menemukan kurang dari 50 proses—kondisi khas pada lingkungan analisis malware otomatis—DLL akan memicu pembentukan kunci yang salah sehingga payload tidak dapat terbaca. Teknik ini memungkinkan malware meloloskan diri dari deteksi sistem analisis keamanan otomatis.
Setelah berhasil mengeksekusi payload, DLL jahat menyembunyikan isinya ke dalam NTFS alternate data stream sebelum menandai dirinya untuk dihapus dari cakram keras tanpa meninggalkan log aktivitas penghapusan standar.
Ancaman Backdoor GRAYRABBIT dan Implikasi Pengguna
Keberhasilan infeksi ini berujung pada pemasangan backdoor GRAYRABBIT. Perangkat lunak jahat ini memberi penyerang akses remote command shell, kemampuan memindahkan berkas dua arah, serta fasilitas untuk memuat modul tambahan dari server peretas kapan saja.
Google Threat Intelligence yang memantau UNC3569 sejak 2021 mencatat bahwa kelompok ini kerap menyasar sektor pemerintah, pendidikan, teknologi, dan keuangan, utamanya di wilayah Asia Timur serta Asia Tenggara. Dalam aksinya, GRAYRABBIT berkomunikasi dengan server kendali mail.uaiubifas[.]top melalui port 443 menggunakan protokol TCP berenkripsi RC4, bukan menggunakan enkripsi TLS standar.
Berdasarkan riset Citizen Lab dari University of Toronto pada 2023, Sogou Input Method merupakan aplikasi pengetikan bahasa Mandarin paling populer dengan pangsa pasar mencapai 70 persen atau lebih dari 455 juta pengguna bulanan di berbagai platform. Aplikasi ini juga digunakan secara global, termasuk mencatat lebih dari 3,3 persen lalu lintas situs dari Amerika Serikat.
Tanggapan Tencent dan Status Perbaikan Aplikasi
Gen Digital mengarsipkan temuan ini dengan kode CVE-2026-51990 dan melaporkannya kepada Tencent pada 9 April 2026. Tencent merilis pembaruan otomatis versi 16.3.0.3498 pada 21 April 2026 untuk menutup celah masuk tersebut.
Dalam tanggapan resmi yang dikutip dalam riset, pihak Tencent menilai rantai serangan ini tergolong kompleks dan membutuhkan rekayasa sosial (social engineering) agar pengguna mengizinkan perintah penampil jendela konfirmasi pada peramban.
Perbaikan yang diterapkan Tencent difokuskan pada komponen biz_helper.exe dengan memverifikasi argumen tautan, mewajibkan protokol HTTPS, serta membatasi domain yang dapat diakses hanya pada empat domain resmi: sogou.com, qq.com, woa.com, dan sogou. Meski demikian, analisis Gen Digital menunjukkan bahwa mesin peramban internal aplikasi masih menggunakan Chromium 80 tanpa pengaktifan fitur sandbox.
Pengguna Sogou Input Method versi Windows diimbau untuk segera memastikan aplikasi mereka telah diperbarui ke versi 16.3.0.3498 guna mencegah risiko penyusupan perangkat.
