El UNC3569, vinculado a China, aprovechó una vulnerabilidad del método de entrada de Sogou para instalar la puerta trasera GRAYRABBIT

Un grupo de pi­ra­tas in­for­má­ti­cos vin­cu­la­do a China, iden­ti­fi­ca­do como UNC3569, apro­ve­chó una vul­ne­ra­bi­li­dad en el mé­to­do de en­tra­da Sogou en sis­te­mas Win­dows para ins­ta­lar una puer­ta tra­se­ra ma­li­cio­sa. El in­ci­den­te co­men­zó me­dian­te un en­la­ce ma­ni­pu­la­do que per­mi­tía a los ata­can­tes rea­li­zar ac­cio­nes con los mis­mos pri­vi­le­gios del usua­rio co­nec­ta­do. La com­pa­ñía Ten­cent, pro­pie­ta­ria y de­sa­rro­lla­do­ra del soft­wa­re, im­ple­men­tó una so­lu­ción para este fallo.

La in­ves­ti­ga­ción de la em­pre­sa de se­gu­ri­dad Gen Di­gi­tal de­ta­lló que el pro­ble­ma ra­di­ca­ba en cómo el com­po­nen­te en­car­ga­do de ges­tio­nar los en­la­ces per­so­na­li­za­dos en Win­dows no fil­tra­ba los ar­gu­men­tos de la línea de co­man­dos. Esto per­mi­tía abrir el pro­gra­ma de con­fi­gu­ra­ción y su tien­da de más­ca­ras uti­li­zan­do una ver­sión an­ti­gua de un motor de na­ve­ga­dor ba­sa­do en Chro­mium, la cual ca­re­cía de pro­tec­cio­nes esen­cia­les como el en­torno ais­la­do ("sand­box") y la po­lí­ti­ca del mismo ori­gen. A tra­vés de esto, la pá­gi­na web ma­li­cio­sa eje­cu­ta­ba un fallo de Ja­vaS­cript para com­pro­me­ter el equi­po.

Como re­sul­ta­do de la ex­plo­ta­ción, se des­car­ga­ba un car­ga­dor que uti­li­za­ba una copia le­gí­ti­ma de 7-Zip junto con una bi­blio­te­ca de en­la­ce di­ná­mi­co (DLL) ma­li­cio­sa y un ar­chi­vo ci­fra­do para des­ple­gar la puer­ta tra­se­ra GRAYRABBIT. Este soft­wa­re ma­li­cio­so es­ta­ble­ce co­mu­ni­ca­ción con un ser­vi­dor de co­man­do me­dian­te trá­fi­co TCP ci­fra­do con RC4. Ten­cent apli­có una ac­tua­li­za­ción au­to­má­ti­ca para blo­quear la vía de ac­ce­so de los en­la­ces no au­to­ri­za­dos, aun­que el motor del na­ve­ga­dor se man­tu­vo sin mo­di­fi­ca­cio­nes en cuan­to a su con­fi­gu­ra­ción de se­gu­ri­dad in­ter­na.