중국과 연계된 해킹 그룹 UNC3569이 텐센트(Tencent)의 인기 중국어 입력기 '소우고우 입력기(Sogou Input Method)'의 심각한 취약점(CVE-2026-51990)을 악용해 'GrayRabbit'이라는 백도어(악성 프로그램)를 설치하고 있습니다. 이 공격은 피해자가 악성 링크를 한 번만 클릭해도 원격에서 공격자가 시스템을 마음대로 조종할 수 있는 RCE(원격 코드 실행) 방식으로 이루어집니다. 소우고우 입력기는 중국에만 수억 명의 사용자가 있는 소프트웨어로, 오래되고 보안이 취약한 내장 브라우저 엔진이 핵심 문제입니다. 텐센트는 4월 21일 버전 16.3.0.3498로 패치를 배포했으나, 연구진은 내장 브라우저가 여전히 구식이며 샌드박스 없이 실행된다고 경고했습니다. 소우고우 입력기를 사용하는 조직은 즉시 최신 버전으로 업데이트해야 합니다.
중국 연계 위협 그룹 UNC3569이 Tencent Sogou Input Method의 취약점(CVE-2026-51990)을 이용해 GrayRabbit 백도어를 배포하고 있습니다. 공격자는 sgbiz: 커스텀 URI를 통한 인수 주입, 무제한 URL 탐색, 구형 Chromium 80 엔진 취약점을 연쇄적으로 활용합니다.
피해자가 악성 링크를 클릭하는 것만으로 원격 코드 실행이 가능하며, GrayRabbit 백도어가 설치됩니다. 이 악성코드는 프로세스 실행, 역방향 쉘 생성, 파일 업로드·다운로드, 시스템 정보 수집, 플러그인 메모리 로드 등 광범위한 기능을 갖추고 있습니다.
Sogou Input Method의 sgbiz: URI 핸들러가 커맨드라인 인수를 검증하지 않고, 내장 CEF 기반 웹뷰가 URL 대상을 제한하지 않으며, 내장 Chromium 80 브라우저가 샌드박스 없이 웹 보안 기능이 비활성화된 채로 동작하는 세 가지 취약점이 결합되었습니다.
텐센트는 2026년 4월 21일 Sogou Input Method 버전 16.3.0.3498을 배포하여 URI 인수 검증 추가, HTTPS만 허용, 승인된 도메인으로 탐색 제한 등의 조치를 취했습니다. 그러나 내장 브라우저는 여전히 구형이며 샌드박스가 적용되지 않아 근본적인 위험이 남아 있습니다.
조직 내 Sogou Input Method 사용자가 있다면 즉시 버전 16.3.0.3498 이상으로 업데이트해야 합니다. 해당 소프트웨어가 불필요하다면 제거를 검토하고, UNC3569의 GrayRabbit 백도어 침해지표(IoC)를 보안 모니터링에 반영하십시오.
본문
중국과 연계된 스파이 그룹과 관련된 위협 행위자들이 Windows용 Tencent Sogou Input Method(소우고우 입력기)의 심각한 취약점(CVE-2026-51990)을 악용해 GrayRabbit 백도어를 배포하고 있습니다.
사이버보안 회사 Gen Digital의 연구원들은 이 보안 문제가 원클릭 RCE(원격 코드 실행) 취약점이라고 경고합니다.
Gen Threat Labs는 "저희는 UNC3569 위협 그룹이 조작된 링크를 통해 GRAYRABBIT 백도어를 배포하기 위해 이 취약점을 실제 환경에서 적극적으로 악용하는 것을 관찰했습니다"라고 밝혔습니다.
Sogou Input Method는 일반 키보드로 한자를 입력할 수 있게 해주는 인기 Windows 애플리케이션으로, 커스텀 링크 핸들러와 구형 Chromium 엔진을 사용하는 내장 웹 브라우저도 제공합니다.
중국 기술 대기업 Tencent가 개발한 Sogou Input Method는 중국에서 수억 건의 설치가 이루어진 것으로 알려져 있습니다.
Gen Threat Labs는 UNC3569이 이 제품의 세 가지 취약점을 연쇄적으로 활용한다고 보고합니다:
- sgbiz: URI에서 검증되지 않은 커맨드라인 인수 주입
- CEF 기반 웹뷰에서의 무제한 URL 탐색
- 구형의 샌드박스 미적용 Chromium 브라우저 엔진
공격 체인은 피해자가 조작된 sgbiz: 커스텀 URI를 클릭하면서 시작됩니다. 이로 인해 Windows가 Sogou의 biz_helper.exe 프로토콜 핸들러를 실행하고, 이 핸들러는 공격자가 제어하는 커맨드라인 인수를 검증 없이 정상 실행 파일인 SGMyInput.exe에 전달합니다.
공격자가 주입한 인수는 Sogou의 skincenter 컴포넌트를 열고, 내장된 Chromium 웹뷰가 공격자가 제어하는 URL을 로드하도록 지시합니다. Sogou는 해당 URL의 스킴(scheme)이나 대상을 제한하지 않습니다.
세 번째 단계에서 악성 페이지는 Sogou의 구형 Chromium 80 엔진에서 알려진 취약점을 악용합니다. 이 브라우저는 샌드박스 없이, 중요한 웹 보안 기능들이 비활성화된 상태로 실행되기 때문에 공격자는 코드 실행에 성공하고 GrayRabbit 백도어를 설치합니다.
UNC3569 공격 체인
출처: Gen Threat Labs
2024년 Google 연구원들은 GrayRabbit을 모듈형 악성코드 계열로 분류하고, 사이버범죄와 해킹 청부 생태계 모두에서 활동하는 중국 기반 위협 행위자 UNC3569과 연결지었습니다.
Gen Threat Labs가 분석한 악성코드 샘플은 더욱 고도화된 64비트 변종으로, 확장된 명령 세트와 RC4로 인코딩된 C2(명령 및 제어) 설정을 갖추고 있습니다.
주요 기능으로는 프로세스 실행, 양방향 역방향 쉘(reverse shell) 열기, 파일 업로드 및 다운로드, 시스템 및 사용자 정보 수집, 호스트 메모리에 플러그인을 반사적으로 로드하는 기능 등이 포함됩니다.
Gen Threat Labs는 4월 9일 Tencent에 연구 결과를 보고했으며, 소프트웨어 벤더는 4월 21일에 출시된 Sogou Input Method 버전 16.3.0.3498에서 수정 패치를 배포했습니다.
이 패치는 프로토콜 핸들러를 통해 허용되는 URL 인수를 검증하고, HTTPS만 허용하며, Sogou 및 Tencent 관련 승인된 도메인으로만 탐색을 제한합니다.
그러나 연구원들은 내장 브라우저가 여전히 구형이며, 샌드박스 없이 많은 웹 보안 기능들이 비활성화된 채로 실행된다고 경고했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
