중국 연계 해커, 'Sogou 입력기' 취약점 실제 악용…클릭 한 번에 백도어 설치

중국 연계 해킹그룹이 중국에서 널리 사용되는 윈도우용 중국어 입력기 'Sogou Input Method'의 취약점을 실제 공격에 악용한 것으로 확인됐다.

공격그룹 UNC3569는 Sogou Input Method의 원격코드실행 취약점인 CVE-2026-51990을 이용해 피해자 시스템에 'GRAYRABBIT' 백도어를 설치했다.

Sogou Input Method는 중국어 입력에 사용되는 프로그램으로, 내부에 웹 콘텐츠를 처리하는 브라우저 엔진과 프로그램 간 통신을 위한 커스텀 프로토콜 기능을 포함하고 있다.

공격자는 조작한 링크를 피해자에게 클릭하도록 유도했다. 링크가 실행되면 Sogou의 내장 브라우저에서 악성 콘텐츠가 열리고 코드가 실행될 수 있다. 이후 공격 과정은 사용자에게 거의 드러나지 않는다.

공격에 성공하면 GRAYRABBIT 백도어가 설치된다. 이 악성코드는 공격자가 감염된 시스템을 원격으로 제어하고 명령 실행, 파일 전송, 추가 악성코드 설치 등을 수행할 수 있도록 한다.

텐센트는 취약점을 수정한 Sogou Input Method 16.3.0.3498 버전을 배포했다. 사용자는 설치된 프로그램의 버전을 확인하고 최신 버전으로 업데이트해야 한다.

이번 사례는 웹브라우저나 VPN, 방화벽뿐 아니라 입력기 같은 일반적인 업무용 프로그램도 공격 경로가 될 수 있음을 보여준다.

최근 협업도구와 메신저, 문서 프로그램, 개발도구에는 자체 브라우저 엔진이나 WebView가 포함되는 경우가 많다. 운영체제와 크롬, 엣지 등 웹브라우저를 최신 상태로 유지해도 애플리케이션 내부의 오래된 웹 엔진은 공격에 노출될 수 있다.

국내 기업은 중국 지사나 거래처와 업무를 수행하는 임직원 PC를 중심으로 Sogou Input Method 설치 여부와 업데이트 상태를 점검해야 한다. 오래된 중국어 입력기와 업무용 프로그램이 사용되고 있는지도 확인할 필요가 있다.

보안 담당자는 자산관리 범위를 운영체제와 웹브라우저에만 한정하지 말고, 업무용 프로그램에 포함된 Chromium과 WebView 등 내장 웹 실행 환경까지 관리해야 한다.

이번 공격은 사용자가 신뢰하는 일상적인 프로그램도 사이버스파이 활동의 최초 침투 경로로 악용될 수 있다는 점을 보여준다.