文章总结： 搜狗输入法存在CVE-2026-51990远程代码执行漏洞，已被UNC3569组织真实利用，通过sgbiz链接串联协议处理、网页和旧版Chromium内核三个弱点植入GRAYRABBIT后门。腾讯已通过16.3.0.3498版修复。建议用户立即更新版本，企业应核查软件清单，排查公共目录可疑文件及IOC域名，关注443端口非TLS流量。 综合评分： 85 文章分类： 漏洞分析,恶意软件,应急响应,威胁情报

点开一个sgbiz链接就植入后门：搜狗输入法漏洞已被真实利用

原创

tcode tcode

字节脉搏实验室

2026年9月16日 11:25 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

    输入法看起来只是桌面上的一个小工具，因此更容易被排除在安全清单之外。Gen Digital 9月10日公布的研究显示，Windows版搜狗输入法曾存在编号为 CVE-2026-51990 的远程代码执行漏洞；真实攻击活动使用特制链接串联协议处理、网页和旧版浏览器三个弱点，最终安装 GRAYRABBIT 后门。腾讯已在2026年4月21日通过16.3.0.3498版自动更新修复漏洞入口。

    这起事件的关键不是“输入法会不会记录按键”这种旧问题，而是一个常用的中文软件如何处理外部链接、启动本地组件，以及它内置的浏览器是否还带着早已淘汰的防护配置。只要这三件事组合错误，用户以为自己在打开帮助页或皮肤页，系统却可能按攻击者指定的参数启动另一个组件。

一个链接怎样走到本机命令执行

    搜狗输入法在 Windows 上不是一个单一程序，而是由多个组件通过 sgbiz: 自定义协议协作。系统遇到此类链接时，会将请求交给 biz\_helper.exe，后者根据链接选择要启动的组件。问题出在参数校验：处理器检查了组件名称，却没有过滤随组件一起传入的命令行参数。

    攻击者选择一个会打开皮肤商店的 SGMyInput.exe 组件，并把“商店地址”替换为受控网页。皮肤商店是少数会打开浏览器窗口的界面，而它对传入网址缺少限制。到这里，一个外部链接已经能够决定本机浏览器打开什么内容。

    第三个弱点放大了后果。搜狗当时捆绑的libcef.dll自报为CEF 80.1.16、Chromium 80.0.3987.163，约发布于2020年3月。Gen 发现其沙箱被关闭，同源策略也被 disable-web-security 等设置禁用。攻击网页因此可以利用CVE-2021-38003等旧版V8漏洞，从网页脚本一路执行到用户权限下的本机代码，不需要再寻找第二次逃逸。

    Gen 观察到的攻击使用了域名noht1ng[.]top承载利用页面，并把三个文件写入C:\Users\Public\Documents：合法的7-Zip、名为7z.dll的恶意DLL，以及加密后的最终载荷。随后执行了一个没有实际解压意义的命令，只为让7-Zip加载同目录DLL。恶意DLL会先统计系统进程数，少于50个就生成错误密钥，这是对沙箱和自动分析环境的规避；运行后它把自身内容移入NTFS备用数据流并删除原文件，最终留下GRAYRABBIT后门。

为什么这是真实攻击，而不只是一次漏洞演示

    Gen 将活动归因于 UNC3569，并称该组织利用漏洞在真实目标上投放GRAYRABBIT。后门连接mail.uaiubifas[.]top的443端口，但通信不是常见TLS，而是经过RC4混淆的明文TCP。对于防守方来说，“443端口就一定是加密Web流量”的假设在这里会失效。

    搜狗输入法拥有数亿级用户规模，且在中国大陆中文输入场景中占比很高。即使公开材料没有披露具体受害者区域和数量，这仍是直接影响国内常用软件的真实攻击事件。这里的“大陆关联”来自产品本身和腾讯修复事实，不能进一步推导成中国大陆用户已经遭到大规模入侵。

    腾讯对利用链给出了不同判断。其回应称攻击链相对复杂，攻击者需要社会工程诱导用户“主动授权浏览器弹窗”。Gen 则认为点击链接本身已经足够，两家公司都没有公开受害者在弹窗前的具体操作。事实边界应保持清楚：漏洞和真实利用成立，但“单次点击在所有浏览器交互场景中都无提示”这一表述没有得到双方一致确认。

修复入口之后，为什么还要检查旧内核

    腾讯在收到报告后12天内完成了自动更新，修复集中在biz\_helper.exe：只接受HTTPS网址，并把主机名限制在sogou.com、qq.com、woa.com和sogou等允许范围内。Gen 检查更新后的文件时仍发现，浏览器内核没有变化，沙箱设置和禁用 Web 安全的编译选项仍在。由于外部链接已经不能再任意指定地址，旧内核暂时失去了这条入口，但这些配置本身说明组件仍需继续改造。

对个人用户，更新到16.3.0.3498或更高版本是首要动作。对企业和单位的终端管理员，不能只依赖“用户会手动更新”：应通过软件清单确认实际安装版本，检查自动更新是否被代理、离线包或旧镜像绕过，并单独排查已经停止维护的装机模板和外包办公终端。

行动清单：从链接、进程和网络三段排查

    第一，核对搜狗输入法版本。低于16.3.0.3498的Windows版本应尽快更新；第三方软件管家、离线装机包或自建分发目录中的旧安装包也应下架，重新从官方渠道获取。

    第二，检查可能已发生的载荷落地。重点关联C:\Users\Public\Documents中的7z.dll、p和core.dll，以及Gen公布的SHA-256：29c7...7a63对应的恶意DLL、7491...2422e对应的p文件、d7a3...8b3a对应的GRAYRABBIT。文件可能已被删除或移入备用数据流，因此还要查看进程加载记录和文件恢复信息。

    第三，在网络侧组合检测noht1ng[.]top、mail.uaiubifas[.]top和8.218.50[.]207，并关注443端口上的非TLS TCP。不能只封一个IP：攻击者可以迁移基础设施，域名、证书、连接特征和终端进程需要联合判断。

    第四，确认感染后先隔离和取证，再重置该用户在这台终端上使用过的账号、令牌和开发凭据。只删除core.dll不能证明后门已经被清除，公开材料也没有说明安装修复程序必然会移除已经运行的后门。

    可以保存这个问题用于终端排查：这台电脑最近是否打开过sgbiz:链接？输入法目录是否存在异常更新？公共文档目录曾否出现合法7-Zip和可疑DLL的组合？三个答案能帮助管理员快速区分普通软件行为和需要取证的终端。

证据边界

    Gen 的归因、IOC和攻击链来自单一安全厂商的现场调查，腾讯只部分确认漏洞修复与利用条件。公开材料没有说明受影响搜狗版本范围，也没有给出面向普通用户检查版本的可视化步骤；16.3.0.3498是双方共同明确的修复版本，但不应把该编号写成所有受影响分支的唯一结论。访问IOC域名不等于必然失陷，仍需结合进程、文件和账号行为判断。

    最值得记住的仍是“熟悉软件加陌生链接”这个入口。输入法每天都接触聊天、搜索和办公内容，一旦它能启动外部浏览器，就必须像浏览器本身一样接受隔离、更新和监控。

热点来源

    来源：Gen Digital，One Click to Backdoor: Active Exploitation of Sogou Input Method Vulnerability，2026-09-10；支持事实：CVE-2026-51990、UNC3569、sgbiz链、Chromium 80、CVE-2021-38003、GRAYRABBIT、IOC、16.3.0.3498修复与腾讯回应。链接：https://www.gendigital.com/blog/insights/research/one-click-backdoor-sogou

    来源：The Hacker News，China-Linked UNC3569 Exploited Sogou Input Method Flaw to Deploy GRAYRABBIT Backdoor，2026-09-11；支持事实：事件时间、修复版本、双方对利用条件的表述和版本状态。链接：https://thehackernews.com/2026/09/china-linked-unc3569-exploited-sogou.html

    来源：Gen Digital，网页公开IOC表，读取时间2026-09-16；支持事实：恶意DLL、载荷、后门哈希，mail.uaiubifas[.]top、noht1ng[.]top、8.218.50[.]207与公共目录落地路径。链接同原始研究页。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《点开一个sgbiz链接就植入后门：搜狗输入法漏洞已被真实利用》