중국 연계 UNC3569, 소우고우 입력기 취약점 악용해 GRAYRABBIT 백도어 배포

중국과 연계된 해킹 그룹이 **소우고우 입력기(Sogou Input Method)**의 취약점을 악용해 피해자 컴퓨터에 백도어를 심었다고 보안 회사 Gen Digital이 목요일 발표한 연구에서 밝혔다. 소우고우 입력기는 윈도우에서 한자를 입력하는 데 가장 널리 쓰이는 도구 중 하나다.

공격은 조작된 링크 하나로 시작해, 최종적으로 공격자가 로그인된 사용자가 할 수 있는 모든 행동을 할 수 있는 상태로 끝났다. 소우고우를 소유·개발하는 텐센트(Tencent)는 2026년 4월에 해당 취약점을 수정했다.

Gen은 구글 위협 인텔리전스(Google Threat Intelligence)가 중국과 연계된 것으로 파악하고 용병 해커 집단으로 분류한 UNC3569의 실제 침해 사고를 조사하던 중 이 취약점을 발견했다. 구글은 2021년부터 이 그룹을 추적해왔으며, 주로 동아시아 및 동남아시아의 정부, 교육, 기술, 금융 분야를 표적으로 삼아왔다고 밝혔다.

이 그룹이 심은 백도어는 GRAYRABBIT으로, 구글이 "감염 기기에 대한 첫 번째 발판"으로 설명하는, 해당 그룹이 수년간 사용해온 소형 프로그램이다. 원격 명령 셸(shell)을 제공하고, 파일을 양방향으로 전송할 수 있으며, 언제든지 공격자 서버에서 추가 모듈을 불러올 수 있다.

텐센트의 수정은 침입 경로를 차단했지만, 공격을 가능하게 한 소우고우의 핵심 부분은 변경되지 않았다. Gen이 검사한 패치 버전에서도 내장 브라우저 엔진은 여전히 2020년 버전이며, 샌드박스(sandbox)도 여전히 꺼진 상태다.

링크 하나가 기기에 닿기까지

소우고우 입력기는 토론토 대학교 시티즌 랩(Citizen Lab)의 2023년 연구에 따르면 중국에서 가장 인기 있는 중국어 입력기다.

해당 연구는 소우고우의 월간 사용자 수를 윈도우·안드로이드·iOS 합산 4억 5,500만 명 이상으로 집계했고, 중국어 입력기 시장 점유율은 약 70%로 파악했다. 제품 웹사이트 방문 시장 조사를 인용하면서, 사용자가 중국에만 국한되지 않으며 미국이 방문의 3.3% 이상을 차지한다고도 언급했다.

같은 연구에서 앱의 암호화 방식에 결함이 있어 사용자가 입력한 내용이 노출될 수 있다는 점도 발견했다.

Gen이 발견한 취약점은 윈도우 버전에 있다. 소우고우 입력기는 윈도우에서 단일 프로그램이 아니라, sgbiz:라는 윈도우에 등록된 커스텀 링크 유형을 통해 서로 통신하는 여러 구성 요소의 집합이다. sgbiz: 링크가 열리면 윈도우는 이를 biz_helper.exe에 전달하고, 이 프로그램이 링크를 읽고 해당 소우고우 구성 요소를 시작한다.

핸들러는 링크가 시작을 요청하는 프로그램을 확인한다. 그러나 함께 전달할 명령줄 인수(command-line arguments)는 확인하지 않는다. Gen은 해당 인수에 아무런 필터링도 없음을 확인했다.

따라서 공격자가 인수를 마음대로 선택할 수 있었다. 링크는 소우고우의 설정 프로그램인 SGMyInput.exe를 가리키면서, 공격자가 선택한 웹 주소로 스킨 스토어(skin store)를 열라고 명령했다.

스킨 스토어는 해당 프로그램에서 브라우저 창을 여는 유일한 화면이다. 코드는 전달받은 주소를 아무런 검사 없이 브라우저에 전달한다.

세 번째 문제는 바로 그 브라우저에 있다. 소우고우는 자체 크로미엄(Chromium)을 빌드해 사용하는데, 해당 버전은 2020년 3월경 출시된 버전 80이다.

Gen은 브라우저의 두 가지 보호 기능이 꺼진 채 코드에 고정되어 있음을 발견했다. 바로 샌드박스(sandbox, 침해된 웹 페이지가 나머지 컴퓨터에 접근하지 못하게 막는 기능)와 동일 출처 정책(same-origin policy, 페이지가 다른 사이트의 데이터를 읽지 못하게 막는 기능)이다.

샌드박스가 없으면 페이지의 JavaScript 취약점이 곧바로 사용자 권한으로 컴퓨터에서 실행되는 코드가 된다. 브라우저를 탈출하는 두 번째 단계가 필요 없다.

Gen은 링크 클릭만으로 충분했다고 밝혔다. 텐센트는 이에 동의하지 않는다. 연구에 인용된 텐센트의 답변에 따르면, 텐센트는 이 공격 체인을 비교적 복잡하다고 설명하며 공격자가 사용자로 하여금 "브라우저의 팝업 프롬프트를 능동적으로 허가"하도록 소셜 엔지니어링이 필요하다고 밝혔다.

크로미엄 기반 브라우저는 링크를 컴퓨터의 별도 프로그램에 넘기기 전에 확인 대화 상자를 표시하며, 사용자는 특정 사이트에 대해 더 이상 묻지 않도록 설정할 수도 있다. 이 캠페인의 피해자들이 실제로 무엇을 보았는지에 대해 두 회사 모두 밝히지 않았다. Gen은 링크가 이메일이나 채팅 메시지로도 전달될 수 있다고 밝혔으며, 어느 쪽도 그 방식으로 링크가 열릴 때 사용자에게 무엇이 표시되는지 설명하지 않았다.

2021년 브라우저 취약점이 아직도 작동한 이유

피해자가 접속한 페이지에는 CVE-2021-38003 익스플로잇(exploit, 취약점을 실제로 공격하는 코드)이 포함되어 있었다. 이는 크롬의 JavaScript 엔진인 V8이 JSON.stringify를 처리하는 방식의 결함으로, 스크립트가 절대 볼 수 없어야 할 내부 값이 페이지로 유출되고, 이를 통해 공격자가 메모리를 손상시켜 코드를 실행할 수 있었다.

구글은 2021년 10월 Chrome 95에서 이를 수정했다. CISA는 2021년 11월 3일 이 취약점을 실제 악용이 확인된 취약점 목록에 추가했다. 싱가포르 기업 STAR Labs는 2022년 12월에 완전한 분석과 작동하는 익스플로잇 코드를 공개했다.

소우고우의 크로미엄 빌드는 이 수정 사항을 받지 못했다. 다른 대부분의 수정 사항도 마찬가지다.

CISA 목록에 있는 크로미엄 V8 취약점 41개 중 최소 32개가 소우고우가 탑재한 버전 이후에 출시된 Chrome 버전에서 수정되었다. The Hacker News가 각 취약점의 CVE 기록을 해당 버전과 대조해 확인했다.

이는 취약점의 수이지, 소우고우로의 침입 경로 수가 아니다. 그 중 어느 것이 스킨 스토어 창을 통해 도달 가능한지는 페이지가 그 안에서 무엇에 접근할 수 있느냐에 달려 있으며, 아직 누구도 그 작업을 공개하지 않았다.

기기에 설치된 것

익스플로잇은 소형 다운로더를 탑재하고 있었다. Gen은 이것이 홍콩 알리바바 클라우드(Alibaba Cloud) 서버에서 세 개의 파일을 가져오는 것을 추적했다: 정품 7-Zip 복사본, 악성 DLL, 그리고 최종 페이로드(payload)를 담은 암호화된 파일이었다.

세 파일 모두 C:\Users\Public\Documents에 저장되었다. 악성 DLL은 7-Zip이 시작 시 자신의 폴더에서 불러오는 이름으로 저장되어, 7-Zip을 실행하면 공격자의 코드가 로드되었다.

공격자가 실행한 압축 명령은 아무 의미가 없었다. 그 유일한 목적은 7-Zip을 시작하는 것이었다.

DLL은 복호화하기 전에 컴퓨터에서 실행 중인 프로세스 수를 센다. 50개 미만이면 잘못된 키를 생성해 페이로드가 쓸모없는 데이터로 변한다.

자동화된 악성코드 분석 시스템은 프로세스를 적게 실행하는 경향이 있다. 실제 데스크톱은 그렇지 않다.

이후 DLL은 자신을 삭제한다. Gen은 DLL이 자신의 내용을 NTFS 대체 데이터 스트림(alternate data stream, 파일 레코드의 숨겨진 영역)으로 옮긴 뒤 파일을 삭제 대상으로 표시하는 것을 발견했다. 파일은 동작 로그에 삭제 호출 없이 디스크에서 사라진다.

남는 것은 GRAYRABBIT이다. 이 백도어는 포트 443의 mail.uaiubifas[.]top 서버에 접속하며, 그 트래픽은 TLS(보안 통신 규약)가 아닌 RC4로 뒤섞인 평문 TCP다. 포트 443은 통상적으로 TLS 트래픽을 처리하므로, 해당 포트의 비(非)TLS 트래픽은 주의 깊게 살펴볼 필요가 있다.

텐센트가 수정한 것과 남긴 것

Gen은 2026년 4월 9일 텐센트에 이 취약점을 신고했으며, CVE-2026-51990로 추적되고 있다.

텐센트는 다음 날 답변했고, 4월 21일 수정이 완료되어 버전 16.3.0.3498의 자동 업데이트를 통해 모든 사용자에게 배포될 것이라고 확인했다. 12일 만이었다.

전체 수정 사항은 biz_helper.exe에 들어 있다. 이제 웹 주소를 전달하는 두 인수를 찾아 HTTPS가 아닌 것은 거부하고, 호스트명을 sogou.com, qq.com, woa.com, sogou 네 가지 허용 도메인과 대조해 확인한다. Gen에 따르면 이후 추가 검사가 더 이루어졌다.

브라우저 엔진은 건드리지 않았다. Gen이 검사한 패치 파일에서도 샌드박스 설정은 여전히 꺼져 있고, 웹 보안 플래그도 여전히 코드에 고정되어 있으며, 같은 스위치들이 그대로 적용되어 있다.

엔진은 여전히 크로미엄 80이다. 달라진 것은 이제 외부인이 링크 핸들러를 통해 원하는 주소를 지정할 수 없게 되었다는 점이다. Gen은 해당 구성 요소들에 추가 작업이 필요하다고 밝혔다.

대응 방법

소우고우 입력기를 업데이트하세요. 수정 사항은 버전 16.3.0.3498에 포함되어 있으며, Gen에 따르면 텐센트는 2026년 4월 21일 자동 업데이트로 모든 사용자에게 배포했다.

공개 기록에는 두 가지가 빠져 있다. Gen도 텐센트도 어떤 버전이 영향을 받았는지 밝히지 않았고, 설치된 버전을 확인하는 방법도 설명하지 않았다.

수정 이전에 기기가 침해되었을 가능성이 있다면, 아래 침해지표(IoC)를 확인하세요. 로더는 자신을 삭제하므로 악성 DLL이 더 이상 디스크에 없을 수 있다. 수정 사항 설치가 이미 실행 중인 백도어를 제거하는지에 대해서는 어떤 출처도 언급하지 않았다.

Gen은 다음과 같은 침해지표를 공개했다.

• SHA-256 29c7ee41d0cc9e07d981e451df56d0c3d37c41ac4ec10c7b516cc033ee397a63 악성 DLL 로더, 디스크에 7z.dll로 기록됨
• SHA-256 749160a2f20f82744026719cf72e483595c6aad718efa74d675a98662e02422e 암호화된 페이로드 파일, 파일명 p
• SHA-256 d7a3c7eb94edc0e020f74c678743d71d61e944634aade4a67a96c3589e828b3a GRAYRABBIT 백도어, 내부명 core.dll
• Domain mail.uaiubifas[.]top 백도어 명령 서버(C2), 포트 443
• Domain noht1ng[.]top 익스플로잇 페이지 호스팅
• IP 8.218.50[.]207 스테이징 서버, 알리바바 클라우드 홍콩
• Path C:\Users\Public\Documents\ 세 파일이 저장된 경로