กลุ่มโยงจีน UNC3569 ใช้ช่องโหว่ Sogou Input Method ฝังแบ็กดอร์ GRAYRABBIT — คลิกลิงก์เดียวจบ เพราะเบราว์เซอร์ในตัวยังเป็น Chromium 80 ที่ปิดแซนด์บ็อกซ์ไว้

สรุปสั้น

กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับจีนใช้ประโยชน์จากช่องโหว่ใน Sogou Input Method ซึ่งเป็นหนึ่งในเครื่องมือที่ถูกใช้แพร่หลายที่สุดสำหรับการพิมพ์อักษรจีนบนวินโดวส์ เพื่อติดตั้งแบ็กดอร์บนคอมพิวเตอร์ของเหยื่อ ตามงานวิจัยที่บริษัทความปลอดภัย Gen Digital เผยแพร่เมื่อวันพฤหัสบดี โดยการโจมตีเริ่มจากลิงก์ที่ถูกประดิษฐ์ขึ้นและจบลงที่ผู้โจมตีสามารถทำอะไรก็ได้เท่าที่ผู้ใช้ที่ล็อกอินอยู่ทำได้ ซึ่งบริษัท Tencent เจ้าของและผู้พัฒนา Sogou ได้แก้ไขช่องโหว่นี้ไปแล้วเมื่อเดือนเมษายน 2569

Gen พบช่องโหว่นี้ระหว่างการสืบสวนการบุกรุกที่กำลังเกิดขึ้นจริงโดยกลุ่ม UNC3569 ซึ่งเป็นกลุ่มที่ Google Threat Intelligence เชื่อมโยงกับจีนและจัดอยู่ในวงการรับจ้างแฮ็กของประเทศนั้น โดย Google ติดตามกลุ่มนี้มาตั้งแต่ปี 2564 และระบุว่ากลุ่มนี้พุ่งเป้าไปที่ภาคราชการ การศึกษา เทคโนโลยี และการเงิน ส่วนใหญ่ในเอเชียตะวันออกและเอเชียตะวันออกเฉียงใต้ ส่วนแบ็กดอร์ที่ถูกติดตั้งคือ GRAYRABBIT ซึ่งเป็นโปรแกรมขนาดเล็กที่กลุ่มนี้ใช้มาหลายปีและ Google อธิบายว่าเป็นก้าวแรกของกลุ่มในการเข้าสู่เครื่อง มันให้เชลล์รับคำสั่งจากระยะไกล ย้ายไฟล์ได้ทั้งสองทิศทาง และโหลดโมดูลเพิ่มเติมจากเซิร์ฟเวอร์ของผู้โจมตีได้ตลอดเวลา จุดที่ต้องขีดเส้นใต้คือการแก้ไขของ Tencent ปิดทางเข้าได้ก็จริง แต่ไม่ได้เปลี่ยนส่วนของ Sogou ที่ทำให้การโจมตีเป็นไปได้ตั้งแต่แรก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 กันยายน 2569 ว่า กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับจีนใช้ประโยชน์จากช่องโหว่ใน Sogou Input Method บนวินโดวส์เพื่อติดตั้งแบ็กดอร์บนเครื่องของเหยื่อ ตามงานวิจัยของบริษัท Gen Digital โดยห่วงโซ่การโจมตีเริ่มจากลิงก์ที่ถูกประดิษฐ์ขึ้นและจบที่การที่ผู้โจมตีทำได้ทุกอย่างเท่าที่ผู้ใช้ซึ่งล็อกอินอยู่ทำได้

ขนาดของฐานผู้ใช้ทำให้เรื่องนี้มีน้ำหนัก งานวิจัยของ Citizen Lab แห่งมหาวิทยาลัยโทรอนโตเมื่อปี 2566 ระบุว่า Sogou Input Method เป็นโปรแกรมพิมพ์ภาษาจีนที่ได้รับความนิยมที่สุดในจีน โดยมีผู้ใช้มากกว่า 455 ล้านคนต่อเดือนบนวินโดวส์ แอนดรอยด์ และ iOS และมีส่วนแบ่งในหมู่ผู้ใช้โปรแกรมพิมพ์ภาษาจีนราว 70% และเมื่ออ้างอิงข้อมูลการวิจัยตลาดเรื่องการเข้าชมเว็บไซต์ของผลิตภัณฑ์ ก็ระบุว่าผู้ใช้ไม่ได้อยู่แค่ในจีน โดยสหรัฐอเมริกาคิดเป็นสัดส่วนการเข้าชมมากกว่า 3.3% ทั้งนี้งานวิจัยชิ้นเดียวกันยังเคยพบข้อบกพร่องในการเข้ารหัสของแอปที่ทำให้สิ่งที่ผู้ใช้พิมพ์ถูกเปิดเผย

โครงสร้างของ Sogou บนวินโดวส์คือกุญแจของเรื่อง โปรแกรมนี้ไม่ได้เป็นโปรแกรมเดียว แต่เป็นชุดของส่วนประกอบที่สื่อสารกันผ่านลิงก์ชนิดพิเศษที่ลงทะเบียนไว้กับวินโดวส์ในชื่อ sgbiz: เมื่อมีอะไรก็ตามเปิดลิงก์ sgbiz: วินโดวส์จะส่งต่อไปยัง biz_helper.exe ซึ่งอ่านลิงก์นั้นแล้วเริ่มส่วนประกอบของ Sogou ที่ลิงก์ระบุไว้ ปัญหาคือตัวจัดการนี้ตรวจว่าลิงก์ขอให้เริ่มโปรแกรมใด แต่ไม่ตรวจอาร์กิวเมนต์บรรทัดคำสั่งที่ลิงก์ขอให้ส่งต่อไปด้วย ซึ่ง Gen ระบุว่าไม่พบการกรองอาร์กิวเมนต์เหล่านั้นเลยแม้แต่น้อย

ทั้งนี้ Gen ระบุว่าการคลิกลิงก์อย่างเดียวก็เพียงพอแล้ว แต่ Tencent ไม่เห็นด้วย โดยในคำตอบที่ถูกอ้างในงานวิจัย Tencent อธิบายว่าห่วงโซ่นี้ค่อนข้างซับซ้อนและระบุว่าผู้โจมตีจำเป็นต้องใช้วิศวกรรมสังคมเพื่อทำให้ผู้ใช้ “อนุญาตหน้าต่างแจ้งเตือนของเบราว์เซอร์ด้วยตัวเองอย่างจงใจ” ซึ่งเบราว์เซอร์ที่สร้างบน Chromium จะแสดงกล่องยืนยันก่อนส่งต่อลิงก์ให้โปรแกรมแยกต่างหากบนเครื่อง และผู้ใช้สามารถติ๊กช่องเพื่อไม่ให้เห็นกล่องนั้นอีกสำหรับเว็บไซต์หนึ่ง ๆ ได้ อย่างไรก็ตามไม่มีฝ่ายใดระบุว่าผู้ที่ตกเป็นเป้าในแคมเปญนี้เห็นอะไร และ Gen ระบุว่าลิงก์อาจมาถึงทางอีเมลหรือข้อความแชตได้ด้วย ซึ่งทั้งสองฝ่ายก็ไม่ได้อธิบายว่าผู้ใช้จะเห็นอะไรเมื่อเปิดลิงก์ผ่านช่องทางเหล่านั้น

วิธีการโจมตี

เมื่อตัวจัดการลิงก์ไม่กรองอาร์กิวเมนต์ ผู้โจมตีจึงเป็นฝ่ายเลือกอาร์กิวเมนต์เอง โดยลิงก์ชี้ไปที่ SGMyInput.exe ซึ่งเป็นโปรแกรมตั้งค่าของ Sogou แล้วสั่งให้มันเปิดร้านค้าสกินพร้อมกับที่อยู่เว็บที่ผู้โจมตีกำหนด เหตุที่เลือกร้านค้าสกินก็เพราะมันเป็นหน้าจอเดียวในโปรแกรมนั้นที่เปิดหน้าต่างเบราว์เซอร์ และโค้ดส่วนนั้นส่งเบราว์เซอร์ไปยังที่อยู่ใดก็ตามที่ถูกส่งมาให้โดยไม่ตรวจสอบที่อยู่นั้นเลย

ปัญหาที่สามอยู่ที่ตัวเบราว์เซอร์ Sogou สร้าง Chromium เวอร์ชันของตัวเองขึ้นมา และมันคือเวอร์ชัน 80 จากราวเดือนมีนาคม 2563 โดย Gen พบว่ากลไกป้องกันของเบราว์เซอร์สองอย่างถูกปิดและเขียนตายตัวไว้ในโค้ดแบบนั้น ได้แก่แซนด์บ็อกซ์ซึ่งปกติทำหน้าที่กันหน้าเว็บที่ถูกเจาะไม่ให้เข้าถึงส่วนที่เหลือของคอมพิวเตอร์ และนโยบายต้นทางเดียวกันซึ่งห้ามไม่ให้หน้าเว็บอ่านข้อมูลจากเว็บไซต์อื่น เมื่อแซนด์บ็อกซ์หายไป ข้อบกพร่องของ JavaScript ในหน้าเว็บจึงกลายเป็นโค้ดที่รันบนคอมพิวเตอร์ของผู้ใช้ด้วยสิทธิ์ของผู้ใช้นั้นทันที โดยไม่ต้องมีขั้นตอนที่สองเพื่อหลุดออกจากเบราว์เซอร์

หน้าเว็บที่เหยื่อถูกส่งไปนั้นบรรจุโค้ดโจมตีสำหรับ CVE-2021-38003 ซึ่งเป็นข้อบกพร่องในวิธีที่ V8 เอนจิน JavaScript ของ Chrome จัดการกับ JSON.stringify โดยมันปล่อยให้ค่าภายในที่สคริปต์ไม่ควรมองเห็นหลุดออกมาสู่หน้าเว็บ และจากจุดนั้นผู้โจมตีก็ทำให้หน่วยความจำเสียหายและรันโค้ดได้ ทั้งที่ Google แก้ไขช่องโหว่นี้ไปแล้วใน Chrome 95 เมื่อเดือนตุลาคม 2564 CISA เพิ่มเข้าแค็ตตาล็อกช่องโหว่ที่ทราบว่าถูกใช้โจมตีจริงเมื่อวันที่ 3 พฤศจิกายน 2564 และบริษัท STAR Labs จากสิงคโปร์เผยแพร่บทวิเคราะห์ฉบับเต็มพร้อมโค้ดโจมตีที่ใช้งานได้จริงเมื่อเดือนธันวาคม 2565 แต่ Chromium ที่ Sogou สร้างเองไม่เคยได้รับการแก้ไขนั้น และไม่เคยได้รับการแก้ไขอื่น ๆ ส่วนใหญ่ด้วยเช่นกัน

ในจำนวนช่องโหว่ V8 ของ Chromium 41 รายการที่อยู่ในแค็ตตาล็อกของ CISA มีอย่างน้อย 32 รายการที่ถูกแก้ไขใน Chrome รุ่นที่ออกหลังเวอร์ชันที่ Sogou ใช้อยู่ โดย The Hacker News ตรวจสอบบันทึก CVE ของแต่ละรายการเทียบกับเวอร์ชันนั้น อย่างไรก็ตามควรอ่านตัวเลขนี้ให้ตรงว่ามันคือจำนวนช่องโหว่ ไม่ใช่จำนวนช่องทางเข้าสู่ Sogou เพราะช่องโหว่แต่ละตัวจะเข้าถึงได้ผ่านหน้าต่างร้านค้าสกินหรือไม่ ขึ้นอยู่กับว่าหน้าเว็บแตะอะไรได้บ้างภายในนั้น และยังไม่มีใครเผยแพร่งานส่วนนี้

สิ่งที่ถูกวางลงบนเครื่อง

โค้ดโจมตีพาตัวดาวน์โหลดขนาดเล็กมาด้วย โดย Gen ติดตามพบว่ามันดึงไฟล์ 3 ไฟล์จากเซิร์ฟเวอร์บน Alibaba Cloud ในฮ่องกง ได้แก่สำเนาของ 7-Zip ที่ถูกต้องตามกฎหมาย ไฟล์ DLL ที่เป็นอันตราย และไฟล์ที่ถูกเข้ารหัสซึ่งบรรจุเพย์โหลดสุดท้าย ทั้งสามไฟล์ถูกวางไว้ใน C:\Users\Public\Documents และไฟล์ DLL อันตรายถูกบันทึกภายใต้ชื่อที่ 7-Zip โหลดจากโฟลเดอร์ของตัวเองตอนเริ่มทำงาน ดังนั้นการรัน 7-Zip จึงเป็นการโหลดโค้ดของผู้โจมตีแทน ส่วนคำสั่งบีบอัดไฟล์ที่ผู้โจมตีสั่งนั้นไม่มีความหมายใด ๆ หน้าที่เดียวของมันคือทำให้ 7-Zip เริ่มทำงาน

เทคนิคหลบการวิเคราะห์ที่น่าสนใจอยู่ในตัว DLL ซึ่งจะนับจำนวนโพรเซสที่กำลังทำงานอยู่บนคอมพิวเตอร์ก่อนจะถอดรหัสอะไรก็ตาม ถ้าพบน้อยกว่า 50 โพรเซส มันจะสร้างกุญแจที่ผิดและเพย์โหลดจะกลายเป็นขยะ ซึ่งอาศัยข้อเท็จจริงที่ว่าระบบวิเคราะห์มัลแวร์อัตโนมัติมักรันโพรเซสน้อย ขณะที่เครื่องเดสก์ท็อปจริงไม่เป็นเช่นนั้น จากนั้นมันจะลบตัวเองทิ้ง โดย Gen พบว่ามันย้ายเนื้อหาของตัวเองไปไว้ในสตรีมข้อมูลสำรองของ NTFS ซึ่งเป็นส่วนที่ซ่อนอยู่ในบันทึกของไฟล์ แล้วทำเครื่องหมายให้ไฟล์ถูกลบ ผลคือไฟล์หายไปจากดิสก์โดยไม่มีการเรียกคำสั่งลบปรากฏในบันทึกพฤติกรรม

สิ่งที่เหลือทิ้งไว้คือ GRAYRABBIT ซึ่งติดต่อเซิร์ฟเวอร์ของตัวเองที่ mail.uaiubifas[.]top บนพอร์ต 443 และทราฟฟิกตรงนั้นเป็น TCP ธรรมดาที่ถูกกวนด้วย RC4 แทนที่จะเป็น TLS ซึ่งเป็นจุดสังเกตที่ใช้ได้จริง เพราะโดยปกติพอร์ต 443 จะรับส่ง TLS ดังนั้นทราฟฟิกที่ไม่ใช่ TLS บนพอร์ตนั้นจึงควรค่าแก่การเฝ้าดู

สิ่งที่ Tencent แก้ และสิ่งที่ยังทิ้งไว้

Gen รายงานช่องโหว่ไปยัง Tencent เมื่อวันที่ 9 เมษายน 2569 และช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-51990 โดย Tencent ตอบกลับในวันถัดมาและยืนยันเมื่อวันที่ 21 เมษายนว่าการแก้ไขเสร็จสมบูรณ์และจะถูกส่งไปยังผู้ใช้ทุกคนผ่านการอัปเดตอัตโนมัติในเวอร์ชัน 16.3.0.3498 ซึ่งรวมเวลาทั้งหมด 12 วัน

การแก้ไขทั้งหมดอยู่ใน biz_helper.exe โดยตอนนี้มันจะมองหาอาร์กิวเมนต์สองตัวที่บรรจุที่อยู่เว็บ ปฏิเสธสิ่งที่ไม่ใช่ HTTPS และตรวจชื่อโฮสต์เทียบกับส่วนท้ายที่อนุญาต 4 รายการ ได้แก่ sogou.com, qq.com, woa.com และ sogou โดย Gen ระบุว่ามีการเพิ่มการตรวจสอบอื่นเข้ามาอีกหลังจากนั้น

แต่เอนจินเบราว์เซอร์ไม่ถูกแตะเลย ในไฟล์ที่ถูกแพตช์แล้วซึ่ง Gen ตรวจสอบ การตั้งค่าแซนด์บ็อกซ์ยังถูกปิดอยู่ ธงปิดความปลอดภัยของเว็บยังถูกเขียนตายตัวไว้ในโค้ด และสวิตช์ชุดเดียวกันยังถูกใช้อยู่ เอนจินยังคงเป็น Chromium 80 สิ่งที่เปลี่ยนไปคือคนภายนอกไม่สามารถชี้มันไปยังที่อยู่ที่ตัวเองเลือกผ่านตัวจัดการลิงก์ได้อีกต่อไปเท่านั้น ซึ่ง Gen ระบุว่าส่วนประกอบเหล่านั้นยังต้องการการแก้ไขเพิ่มเติม

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือผู้ใช้วินโดวส์ที่ติดตั้ง Sogou Input Method ซึ่งส่วนใหญ่อยู่ในจีนแต่ไม่ได้จำกัดอยู่แค่ที่นั่น และกลุ่ม UNC3569 ตามที่ Google ระบุนั้นพุ่งเป้าภาคราชการ การศึกษา เทคโนโลยี และการเงิน ส่วนใหญ่ในเอเชียตะวันออกและเอเชียตะวันออกเฉียงใต้ ซึ่งทำให้องค์กรที่มีพนักงานหรือคู่ค้าที่ใช้โปรแกรมพิมพ์ภาษาจีนบนเครื่องที่เข้าถึงข้อมูลองค์กรอยู่ในขอบเขตความเสี่ยงด้วย

บทเรียนเชิงโครงสร้างที่สำคัญกว่าตัวช่องโหว่คือเรื่องเบราว์เซอร์ที่ถูกฝังอยู่ในแอปพลิเคชันอื่น ซอฟต์แวร์จำนวนมากบรรจุเอนจินเบราว์เซอร์ของตัวเองไว้ข้างในเพื่อแสดงหน้าร้านค้า หน้าช่วยเหลือ หรือหน้าโฆษณา และเอนจินเหล่านั้นไม่ได้อัปเดตตามเบราว์เซอร์หลักของเครื่อง ผู้ใช้ที่อัปเดต Chrome ให้เป็นรุ่นล่าสุดอยู่เสมออาจยังมี Chromium อายุ 6 ปีที่ปิดแซนด์บ็อกซ์ทำงานอยู่บนเครื่องเดียวกันโดยไม่รู้ตัว และไม่มีเครื่องมือใดในระบบที่รายงานเวอร์ชันของเอนจินที่ฝังอยู่เหล่านี้ให้เห็น

อีกจุดที่ควรบันทึกคือลักษณะของการแก้ไข Tencent ตอบสนองเร็วมากโดยใช้เวลา 12 วันนับจากได้รับรายงานจนออกแพตช์ แต่การแก้ไขนั้นปิดเฉพาะทางเข้าที่ถูกสาธิต ไม่ได้จัดการกับเงื่อนไขที่ทำให้ผลลัพธ์ร้ายแรงขนาดนั้น ซึ่งหมายความว่าถ้ามีใครหาทางชี้เบราว์เซอร์ตัวนั้นไปยังที่อยู่ของตัวเองได้อีกทางหนึ่ง ผลลัพธ์ก็จะเหมือนเดิมทุกประการ

ข้อมูลที่ยังขาดอยู่มีหลายข้อ ทั้ง Gen และ Tencent ไม่ได้ระบุว่าเวอร์ชันใดบ้างที่ได้รับผลกระทบ และไม่มีฝ่ายใดอธิบายว่าจะตรวจสอบเวอร์ชันที่ติดตั้งอยู่บนเครื่องได้อย่างไร นอกจากนี้ยังไม่มีแหล่งใดระบุว่าการติดตั้งการแก้ไขจะลบแบ็กดอร์ที่กำลังทำงานอยู่แล้วหรือไม่ รวมถึงไม่มีการเปิดเผยจำนวนเหยื่อหรือประเทศของเหยื่อในแคมเปญนี้ และเนื่องจากตัวโหลดลบตัวเองทิ้ง ไฟล์ DLL อันตรายจึงอาจไม่หลงเหลืออยู่บนดิสก์ให้ตรวจพบแล้ว

คำแนะนำ

อัปเดต Sogou Input Method โดยการแก้ไขอยู่ในเวอร์ชัน 16.3.0.3498 ซึ่ง Gen ระบุว่า Tencent ผลักออกไปยังผู้ใช้ทุกคนผ่านการอัปเดตอัตโนมัติเมื่อวันที่ 21 เมษายน 2569 แต่เนื่องจากไม่มีการเผยแพร่วิธีตรวจสอบเวอร์ชัน องค์กรควรใช้ระบบจัดการซอฟต์แวร์ของตัวเองไล่ดูเวอร์ชันที่ติดตั้งจริงบนเครื่องแทนการเชื่อว่าการอัปเดตอัตโนมัติทำงานครบทุกเครื่อง

ถ้าสงสัยว่าเครื่องอาจถูกเข้าถึงก่อนการแก้ไข ให้ค้นหาตัวบ่งชี้ด้านล่าง โดยเน้นที่ไฟล์ในเส้นทาง C:\Users\Public\Documents และการเชื่อมต่อขาออกไปยังโดเมนที่ระบุไว้ พร้อมทั้งตรวจสตรีมข้อมูลสำรองของ NTFS บนไฟล์ในโฟลเดอร์นั้น เพราะตัวโหลดใช้กลไกนี้ซ่อนตัวเองก่อนลบทิ้ง

เพิ่มกฎตรวจจับทราฟฟิกที่ไม่ใช่ TLS บนพอร์ต 443 ซึ่งเป็นจุดสังเกตที่ตรงที่สุดของ GRAYRABBIT และเป็นกฎที่ใช้ได้กับมัลแวร์ตระกูลอื่นด้วย รวมถึงเฝ้าดูกรณีที่ 7z.exe ถูกรันโดยโพรเซสแม่ที่ไม่ใช่การกระทำของผู้ใช้ หรือถูกรันจากตำแหน่งที่ไม่ใช่โฟลเดอร์ติดตั้งปกติ

ในเชิงนโยบาย ให้ทบทวนว่าเครื่องในองค์กรอนุญาตให้โปรโตคอลลิงก์แบบกำหนดเองของแอปภายนอกทำงานหรือไม่ และพิจารณาปิดการลงทะเบียนโปรโตคอลที่ไม่จำเป็นผ่านนโยบายกลุ่ม เพราะช่องทางนี้คือจุดที่ทำให้การคลิกลิงก์บนหน้าเว็บกลายเป็นการสั่งรันโปรแกรมบนเครื่องพร้อมอาร์กิวเมนต์ที่ผู้โจมตีกำหนด

สุดท้าย ควรสำรวจว่ามีซอฟต์แวร์ใดในองค์กรที่ฝังเอนจินเบราว์เซอร์ของตัวเองไว้บ้าง และประเมินความเสี่ยงตามอายุของเอนจินนั้น เพราะกรณีนี้แสดงให้เห็นว่าการอัปเดตเบราว์เซอร์หลักของเครื่องไม่ได้ครอบคลุมเอนจินที่ฝังอยู่ในแอปอื่นเลย

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนและที่อยู่ไอพีถูกทำให้ไม่สามารถคลิกได้ (defang) แล้ว

แหล่งอ้างอิง

• China-Linked UNC3569 Exploited Sogou Input Method Flaw to Deploy GRAYRABBIT Backdoor — The Hacker News
• One-click backdoor in Sogou Input Method — Gen Digital
• Down the GRAYRABBIT hole: exposing UNC3569 and its modus operandi — Virus Bulletin
• CVE-2021-38003 — NVD