Kelinci Abu-abu Penyerang Siber –

Kelinci Abu-abu Penyerang Siber – Aplikasi papan ketik populer di Windows, Tencent Sogou Input Method, dilaporkan mengalami eksploitasi aktif terhadap kerentanan kritis berseri CVE-2026-51990.

Berdasarkan temuan yang dipublikasikan oleh para peneliti keamanan siber, celah keamanan ini merupakan kelemahan remote code execution (RCE) satu klik (one-click) yang dimanfaatkan oleh kelompok spionase siber untuk menyebarkan perangkat perusak (malware) jenis pintu belakang (backdoor) bernama GrayRabbit.

Serangan ini dioperasikan oleh kelompok peretas terarah (dikenal dalam dunia intelijen ancaman sebagai UNC3569) yang kerap bergerak di ekosistem spionase siber maupun operasi kontraktor peretasan bayaran.

Peneliti mencatat bahwa penggunaan backdoor GrayRabbit kini telah berevolusi menjadi varian 64-bit yang jauh lebih matang dengan perangkat perintah (command set) yang diperluas serta konfigurasi komando dan kontrol (C2) terenkripsi RC4.

Kemampuan destruktifnya mencakup eksekusi proses, pembukaan reverse shell interaktif, pengunduhan dan pengunggahan berkas, pengumpulan data sensitif, hingga pemuatan plugin secara reflektif di dalam memori inang.

Rangkaian Rantai Serangan Lewat Tautan Khusus

Sogou Input Method merupakan aplikasi Windows yang banyak digunakan untuk mengetik aksara Mandarin serta dilengkapi dengan penangan tautan khusus (custom link handler) dan penjelajah web internal (built-in web browser).

Dalam aksinya, peneliti mendapati bahwa kelompok penyerang merangkai tiga kelemahan sekaligus di dalam arsitektur perangkat lunak tersebut untuk melancarkan serangan:

Suntikan Argumen Baris Perintah: Serangan bermula ketika korban mengeklik tautan khusus berformat sgbiz: yang dirancang khusus oleh penjahat siber. Tautan ini memicu protokol pemroses biz_helper.exe pada Windows untuk meneruskan argumen baris perintah ke berkas eksekusi sah SGMyInput.exe tanpa melalui validasi yang memadai.
Navigasi URL Tanpa Batas: Argumen yang disuntikkan penyerang lantas membuka komponen pusat tema (skincenter) milik Sogou dan memerintahkan komponen penjelajah web berbasis CEF (Chromium Embedded Framework) di dalamnya untuk memuat alamat situs web yang dikendalikan oleh peretas, tanpa adanya pembatasan skema ataupun tujuan URL.
Mesin Peramban Usang Tanpa Kotak Pasir (Sandbox): Pada tahap akhir, laman web berbahaya tersebut mengeksploitasi kerentanan bawaan pada mesin Chromium versi 80 yang sudah sangat usang. Karena peramban berjalan tanpa lapisan pelindung sandbox dan menonaktifkan berbagai proteksi keamanan web penting, eksploitasi berhasil mencapai eksekusi kode tingkat sistem untuk menanamkan backdoor GrayRabbit.

Respons Penambalan dan Risiko Jangka Panjang

Setelah pengungkapan kerentanan dilaporkan kepada pihak Tencent, pengembang peranti lunak tersebut bergerak cepat merilis pembaruan melalui Sogou Input Method versi 16.3.0.3498.

Penambalan tersebut berfokus pada validasi argumen URL yang diterima melalui penangan protokol, pembatasan akses hanya ke protokol HTTPS, serta penyaringan navigasi yang hanya diizinkan menuju domain resmi milik Sogou dan Tencent.

Kendati demikian, para peneliti melontarkan peringatan keras bahwa perbaikan tersebut belum sepenuhnya tuntas. Mesin peramban yang mendasari aplikasi ini dilaporkan masih menggunakan versi usang dan tetap berjalan tanpa fitur isolasi sandbox, sehingga menyisakan risiko laten apabila ditemukan celah turunan di masa mendatang.

Konteks Global dan Kerentanan Aplikasi Pihak Ketiga

Kasus eksploitasi Sogou Input Method menyoroti tren ancaman siber global yang semakin agresif dalam memanfaatkan celah pada perangkat lunak utilitas sehari-hari yang memiliki jutaan basis pengguna (mainstream applications).

Aplikasi pengaya sistem, papan ketik digital, hingga alat penunjang produktivitas sering kali luput dari pengawasan ketat pengguna awam, kendati aplikasi tersebut memiliki hak istimewa (privileges) yang cukup dalam di dalam sistem operasi Windows.

Laporan terpisah dari berbagai lembaga pemantau keamanan siber mencatat bahwa vektor serangan rantai pasok lokal dan pemanfaatan komponen pihak ketiga yang kedaluwarsa (seperti mesin Chromium usang tanpa pembaruan pustaka) menjadi celah favorit bagi kelompok spionase lintas negara.

Lemahnya isolasi proses dan ketiadaan pembatasan penanganan protokol kustom sering kali menjadi celah masuk instan (initial access) sebelum penyerang meningkatkan hak akses (privilege escalation) ke dalam jaringan yang lebih luas.

Rekomendasi Pengamanan Sistem

Untuk mengantisipasi ancaman eksploitasi serupa, pengguna maupun administrator sistem diimbau untuk mengambil langkah-langkah mitigasi praktis berikut:

Segera Perbarui Perangkat Lunak: Pastikan aplikasi Sogou Input Method telah diperbarui ke versi minimal 16.3.0.3498 atau versi terbaru yang dirilis oleh pengembang guna menutup celah eksploitasi protokol sgbiz:.
Batasi Penggunaan Aplikasi Pihak Ketiga yang Tidak Krusial: Jika tidak mendesak, hindari penggunaan aplikasi utilitas asing yang jarang diperbarui secara berkala oleh pengembang aslinya, khususnya aplikasi yang mengintegrasikan komponen peramban web mandiri di dalam sistem kerjanya.
Waspadai Tautan Asing: Jangan pernah mengeklik tautan atau protokol kustom yang bersumber dari pesan atau situs web yang tidak dikenal, karena dapat memicu eksekusi perintah latar belakang secara otomatis pada sistem operasional Windows.

Baca artikel lainnya: