搜狗输入法漏洞引发黑客攻击危机

安全公司Gen Digital最近发布了一项研究，披露一个与中国相关的黑客组织利用搜狗输入法中的漏洞，在受害者的计算机上安装了后门程序。此次攻击始于一个经过精心设计的链接，最终使攻击者能够执行用户的各种操作。腾讯在2026年4月已修复此漏洞。Gen在调查一起真实的入侵案时发现了这一漏洞，入侵者被称为UNC3569，谷歌威胁情报将这些黑客与中国连接，并归类为“雇佣黑客”。谷歌自2021年起开始追踪该组织，发现其目标主要集中在政府、教育、技术和金融领域，主要活跃于东亚和东南亚。

被植入的后门名为GRAYRABBIT，是一个该组织使用多年的小程序。谷歌将其形容为“进入目标机器的第一步”，该后门允许攻击者获得远程命令行控制，进行文件双向传输，并能随时从攻方服务器加载额外模块。虽然腾讯的修复措施堵住了漏洞，但搜狗输入法中的根本问题并未被根除。在Gen检测的修复版本中，其内置浏览器引擎仍是2020年的旧版本，且沙箱功能仍处于关闭状态。

根据多伦多大学Citizen Lab 2023年的研究，搜狗输入法是中国最流行的中文输入法，月活跃用户达4.55亿，占中国输入法市场的约70%。该研究还指出，其用户不局限于中国，美国的访问量占比超过3.3%。研究发现该应用的加密也存在缺陷，容易泄露用户输入的信息。 球友会

Gen发现的漏洞位于Windows版本的搜狗输入法。它在Windows上并不是一个独立的程序，而是一系列通过注册的自定义链接类型sgbiz:相互通信的组件。当系统打开sgbiz:链接时，Windows会将其交给biz_helper.exe处理，后者会读取链接并启动相关搜狗组件。这一处理程序虽然会检查链接要求启动的程序，但不会验证传递的命令行参数，而Gen发现这些参数完全没有过滤。因此，攻击者可以修改链接参数，指向SGMyInput.exe——搜狗的设置程序，并通过它打开包含攻击者指定网址的皮肤商店。该皮肤商店是唯一会启动浏览器窗口的界面，其代码可以将浏览器定向到任何提供的地址，而没有进行任何检查。此外，搜狗还构建了一份基于Chromium的浏览器副本，该版本大约来自2020年3月，Gen发现该浏览器的两项保护机制被关闭，且这一设定是硬编码进去的。