해커, 텐센트 ‘Sogou 입력기’ 취약점 악용해 ‘GrayRabbit’ 배포

중국 연계 해킹그룹, 텐센트 ‘Sogou 입력기’ 취약점 악용해 ‘GrayRabbit’ 백도어 배포

• 중국과 연계된 스파이 그룹 ‘UNC3569’이 윈도우용 텐센트 ‘Sogou Input Method’의 치명적 취약점 CVE-2026-51990을 악용해 ‘GrayRabbit’ 원격제어 백도어를 설치하는 공격을 수행하고 있다. 이 취약점은 중국어 입력 앱만 클릭해도 감염되는 구조이다.
• 공격은 사용자가 조작된 ‘sgbiz:’ 링크를 한 번 클릭하는 순간 시작되며, 윈도우가 Sogou 프로토콜 핸들러 ‘biz_helper.exe’를 호출해 공격자가 지정한 명령행 인자를 검증 없이 전달한다. 이어 설정 프로그램 ‘SGMyInput.exe’의 ‘-url’ 옵션을 통해 악성 페이지를 열어 추가 공격을 진행한다.
• 악성 페이지는 내장된 ‘Chromium 80’ 기반 웹뷰의 보안 미비를 이용한다. 이 웹뷰는 샌드박스가 비활성화되고 웹 보안 기능이 꺼진 상태로 작동해, 자바스크립트 엔진 취약점(CVE-2021-38003)까지 연계될 경우 코드 실행이 가능해진다. 결과적으로 사용자는 단순 링크 클릭만으로 시스템이 원격 통제된다.
• CVE-2026-51990은 2026년 4월 9일경 텐센트에 최초 보고됐고, 텐센트는 12일 내에 윈도우용 Sogou 버전 16.3.0.3498에서 패치를 배포했다. 2026년 5월 4일 MITRE에 취약점 등록이 신청되었고, 7월 10일 공식 CVE 번호가 부여됐다. 자동 업데이트를 통해 상당수 이용자가 보호되지만, 구버전 방치는 여전히 심각한 노출이다.
• UNC3569는 모듈형 C++ 악성코드 ‘GrayRabbit’을 DLL 사이드로딩(예: 7zp.dll) 방식으로 설치해 백그라운드에서 은밀히 동작하게 한다. GrayRabbit은 암호화된 원시 TCP 트래픽으로 포트 443을 사용하며, RC4 기반 통신으로 내부망 정찰, 파일 탈취, 추가 악성 도구 배포 등 장기적 스파이 활동을 수행한다.
• 중국에서 광범위하게 쓰이는 입력기 소프트웨어가 단일 클릭으로 상시 감시용 백도어 배포 통로로 악용된 사례는, 한국에서도 다국적 소프트웨어에 의존하는 공공·민간 환경의 공급망 위험을 상기시킨다. 한국은 중국어·한자 입력기, 브라우저 내장 엔진, 문서 편집기 등 일상형 앱의 취약점 관리와 자동 업데이트 강제, 외국산 입력기·유틸리티에 대한 국가 차원의 취약점 모니터링 체계를 시급히 강화할 필요가 있다.

일상형 소프트웨어가 스파이 캠페인 통로로 활용된 만큼, 한국은 외국산 입력기·유틸리티에 대한 취약점 모니터링과 공공망 사용 승인 기준을 재정비하고, 자동 업데이트 의무화·구버전 차단 정책을 서둘러 마련할 필요가 있다.

주요 용어: Sogou Input Method(텐센트가 개발한 윈도우용 중국어 입력 소프트웨어), CVE-2026-51990(원클릭 원격 코드 실행을 허용하는 Sogou 입력기 취약점), GrayRabbit(UNC3569가 사용하는 모듈형 C++ 원격제어 백도어), Chromium 80 엔진(샌드박스가 비활성화된 내장 브라우저 엔진 버전), DLL 사이드로딩(정상 프로그램이 악성 DLL을 함께 로드하도록 위장해 실행 권한을 얻는 기법)

출처: BleepingComputer