ワンクリックでIMEから侵入、UNC3569がSogouのRCE（CVE-2026-51990）を踏み台にGRAYRABBITを展開する事案です

今日の深掘りポイント

• カスタムURIスキーム（プロトコルハンドラ）を足がかりに、ブラウザからネイティブアプリのRCEへ橋渡しする「ワンクリック」型の侵入経路です。メール、メッセージ、Webのどこでも誘導できるのが厄介です。
• IMEという常駐ソフトを初動の実行コンテキストに使うため、ユーザー権限下でも検出回避・持続化に有利です。DLLサイドローディングと組みあわせた静かな定着が想定されます。
• 中国関連グループ（UNC3569）によるスパイ活動文脈で、政府・教育・テック・金融を狙うとされます。華語圏ユーザーや中国市場向け業務端末を抱える日本企業の「業務要件由来のリスク」が前面化します。
• パッチ（Sogou 16.3.0.3498）適用／アンインストール、プロトコルハンドラ無効化、eDNS・eHTTP監視の三点セットを即時に実施すべきフェーズです。資産管理でIMEのインベントリを取れているかが成否を分けます。
• メトリクス全体観からは、新規性・即時性・行動可能性が高く、確からしさも相対的に高いインシデントです。優先度を一段上げ、同種の「URI→ネイティブ実行」の安全性レビューを横展開するのが得策です。

はじめに

Sogou Input Methodは中国語入力で広く使われるIMEで、エンドポイント常駐の性質上、ユーザー操作の近傍に深く入り込みます。報道によれば、このSogouにリモートコード実行（RCE）の重大欠陥（CVE-2026-51990）が存在し、中国関連とされるUNC3569が悪用、軽量モジュール式バックドア「GRAYRABBIT」を展開したといいます。攻撃は、特定のURLをクリックさせるだけでSogou内部コンポーネントを呼び出し、ユーザー権限で任意コード実行に至る流れです。日本企業にとっては、中国拠点・中国語対応チーム・華語圏顧客対応の端末群が直撃し得る領域で、供給網（IMEベンダ）と国家支援型諜報のリスクが交差する典型例です。

深掘り詳細

事実整理（報道ベース）

• 脆弱性はCVE-2026-51990として追跡され、Sogou Input Methodのバージョン16.3.0.3498で修正済みと報じられています。
• 侵入経路は「特定のURL（カスタムURIスキーム）」でSogou内部コンポーネントを起動し、悪意コンテンツを読み込ませるワンクリックRCEです。
• 攻撃はUNC3569に帰属され、政府・教育・テクノロジー・金融セクターを狙うスパイ活動の文脈とされています。
• 展開される「GRAYRABBIT」はリモートコマンド実行、ファイルのアップロード／ダウンロードが可能な軽量モジュール式バックドアで、静かな長期滞在（低ノイズC2）に向く設計と見られます。
• 実行コンテキストとしてSogouのプロセス（例：SGMyInput.exe）を用い、DLLサイドローディングの痕跡に留意すべきとの指摘があります。

参考（報道リンク）: GBHackers on Security: GRAYRABBIT Backdoor

注記: 上記は公開報道をもとに整理したもので、供給元ベンダのアドバイザリやCVE一次情報の追加確認が望ましいです。

編集部のインサイト

• なぜIMEが効くのか
  IMEは常駐・高頻度起動・ユーザー権限・正規署名という「目立たず動ける四拍子」を兼ね備えます。エンドポイントのふるまい監視でも「日常ノイズ」に紛れやすく、検知ロジックが粗いと見逃しがちです。さらに、URIスキームからのプロセス起動は「ブラウザ→ネイティブ」の境界を越えるため、Webゲートウェイの制御を易々とバイパスします。
• エコシステム・リスクとしてのIME
  ブラウザ拡張・PDFリーダ・チャットクライアント等と同様、IMEは「業務生産性を担う周辺ソフト」です。周辺ソフトは企業の標準パッチ運用からこぼれやすく、独自のアップデータやサイレント更新を抱えがちです。結果として、「CVEは出たが、企業の資産台帳に載っておらず、更新も当てられない」というギャップが恒常化します。今回の事案は、この構造的弱点を突く攻撃の見本市といえます。
• EDR“だけ”に寄りかからない設計
  サイドローディング＋正規プロセス実行に寄せる運用では、EDR単独での決定打が出にくくなります。URIスキームの無効化、URLブロックリストでのスキーム遮断、プロセス毎のegress制御など「事前の面で削る」仕組みを重ねることが、検知の前に効いてきます。

脅威シナリオと影響

以下はMITRE ATT&CKに沿った仮説シナリオです（観測事実に加え、編集部の推測を含みます）。

• 初期アクセス
  • T1566.002（スピアフィッシングリンク）またはT1189（ドライブバイ妥協）経由で、カスタムURIスキームを含むリンクへ誘導します。
  • ブラウザからSogouのカスタムプロトコルハンドラを起動し、T1203（クライアント実行のための脆弱性悪用）により任意コード実行に至ります。
• 実行・展開
  • T1059（コマンド・スクリプトインタプリタ：PowerShell/cmd）やT1218（署名済みバイナリの悪用：rundll32等）でペイロードを動かし、T1105（外部からのツール転送）でGRAYRABBIT本体を取得します。
• 永続化・防御回避
  • T1574.002（DLLサイドローディング）で正規プロセスに寄生し、T1547.001（レジストリRunキー／スタートアップ）やタスクスケジューラで再起動後も生存します。
  • T1036（偽装）でファイル名・パスを正規風に装い、EDRの静的検知を回避します。
• 発見・収集・C2
  • T1082（システム情報探索）、T1057（プロセス探索）で環境把握後、T1071.001（Webプロトコル）でC2ビーコン、T1041（C2上での窃取データ送信）で漏えいします。
• 影響
  • 目的は諜報寄りで、長期潜伏と情報窃取が主眼です。政府・教育・テック・金融に加え、日本企業では中国現法や華語圏顧客対応組織が相対リスク高です。VDIや共用端末でのIME共通イメージ配布は、横展開の足がかりになり得ます。

編集部所感として、今回のメトリクス群が示す「即応性の高さ×新規性×行動のしやすさ」の掛け算は、優先度を上げるべき合図です。パッチ適用だけでなく、URIスキームの安全性レビューを他アプリにも横展開し、同型の攻撃経路を面で塞ぐことが肝要です。

セキュリティ担当者のアクション

優先度高から順に、実運用へ落とし込みやすい形で列挙します。

• 影響資産の特定（当日実施）
  • ソフト資産台帳でSogou Input Methodのインストール有無を即時スキャンします。配布形態（VDIゴールデンイメージ／現法のローカル調達／BYOD）ごとに棚卸しを分解します。
  • 端末上の痕跡確認の一例（負荷が低い手順に限定します）：
    • Program Files/Program Files (x86) 配下のSogou関連ディレクトリ、レジストリのUninstallキーにSogou項目がないかをインベントリツールで収集します。
• リスク低減（当日〜翌日）
  • 16.3.0.3498以降への更新、更新不能な場合はアンインストールを標準対応とします。
  • ブラウザのエンタープライズポリシーで、該当カスタムURIスキームをURLブロックリストに追加します（Chrome/EdgeのURLBlocklist等。適用前に業務影響テストを行います）。
  • WindowsのURLプロトコルハンドラ（HKEY_CLASSES_ROOT配下の当該スキーム）の一時無効化をグループポリシーで展開します（復旧手順も併置します）。
  • Egress制御で、Sogou関連プロセスや未知の新規プロセスからの外向きHTTP(S)/DNSを一時的に厳格化します（プロセスベースのFW/EDRルールが有効です）。
• 検知・ハンティング（48時間以内に開始）
  • EDRクエリ（例）
    • 親: Sogou関連実行ファイル（例：…\Sogou**.exe）→子: cmd.exe / powershell.exe / rundll32.exe / regsvr32.exe / mshta.exe のプロセスツリーを抽出します。
    • 正規Sogouプロセスによるユーザ書込み可能ディレクトリ（%APPDATA%、%PROGRAMDATA%など）からのDLLロード（DLLサイドローディング兆候）を抽出します。
  • Sysmonがある場合
    • EventID 1（Process Create）、7（Image Load）、11（File Create）で上記ふるまいを相関します。
  • ネットワーク
    • 「非ブラウザプロセス」からの新規外向きTLSセッション、短周期・低ボリュームの定期ポーリング型通信を狙い撃ちで相関します（JA3/サーバ証明書の希少性指標が効きます）。
• インシデント対応（検知時）
  • 影響端末のネットワーク隔離、メモリダンプ・ディスクイメージ取得、永続化機構（Runキー／Scheduled Tasks）の網羅確認を手順化します。
  • 横展開確認として、同一セグメント内の資産に対し、同一IOC・同一TTPのスイープを即時に実行します。
• 恒久対策（2週間以内の計画化）
  • 周辺ソフト（IME、PDF、チャット、クラウドドライブ）の「URI→ネイティブ実行」パスに対する安全性レビューを全社横断で実施します。
  • 資産管理の網羅率KPIを設定し、商用IME等の「現場導入されがち資産」をパッチSLA対象に正式に組み込みます。
  • 高リスク部門（中国現法、華語圏BPO、対外広報等）に限定したeDNS/eHTTPのプロセス粒度監視とTLS復号の適用を検討します。

最後に、今回の件は「ゼロから新しい攻撃手法」ではなく、「見落とされがちな当たり前のつなぎ目（URIスキームとネイティブ）の最適化攻撃」です。だからこそ、パッチと設定の丁寧な運用で大部分を削減できます。現場が明日から実行できる一歩を、まずは積み上げていきたいところです。

参考情報

• GRAYRABBIT Backdoor abuses Sogou Input Method RCE（GBHackers）