これまでZimbraの脆弱性悪用と関連付けられていたロシア系脅威アクターが、今度はMicrosoft Outlook Web Access (OWA)の脆弱性を悪用して、米国および欧州の政府機関、通信、金融、ホスピタリティ、航空宇宙分野を標的としていることが確認された。

この活動は2026年7月22日から始まり、OWAに存在するクロスサイトスクリプティング（XSS）の脆弱性CVE-2026-42897（CVSSスコア: 8.1）を悪用している。マイクロソフトは2026年5月までさかのぼって攻撃での悪用を確認し、パッチを適用済みと公表していた。

エンタープライズセキュリティ企業Proofpointは、この活動をLaundry Bear（別名CL-STA-1114、TA488、UNK_PitStop、Void Blizzard）に帰属させており、同グループは2025年7月以降にZimbraのClassic UIに存在したXSS脆弱性CVE-2025-66376のゼロデイ悪用にも関与していたとされている。

これらの攻撃では、攻撃者が管理するProton Mailアカウントや、事前に侵害したアドレスから送信されたメッセージが、脆弱なバージョンのZimbra経由で閲覧された瞬間にCVE-2025-66376のエクスプロイトを起動し、被害者の90日分のメールおよびその他の重要データを収集する「ZimReaper」と呼ばれるJavaScriptペイロードを展開する。

「TA488は、メールを開くだけで侵害が成立する『ハーフクリック』エクスプロイトの使用を倍加させており、ロード機構や技術、マルウェアが大幅に改良され、グループのトレードクラフトと能力が向上していることを示している」と、Proofpointの研究者Greg Lesnewich、Stuart Del Caliz、Nick Attfield、Konstantin Klinger、Saher Naumaan、Mark Kellyは述べている。

これまでと同様に、活動は侵害されたアカウントを利用して脆弱性を悪用するメールを送信する。フィッシングメッセージの量と標的の広さは従来のTA488キャンペーンとは異なり、大量送信スパムに紛れ込んで検知を回避するための意図的な広範な取り組みと評価されている。

Cybersecurity

メール自体は受信者側で特別な操作を必要としない曖昧な文言が用いられており、サプライチェーン分析、研究更新、観光やガス市場の指標といったトピックを装った情報メールを模倣している。

このような汎用的なメールの使用は、脅威アクターのハーフクリック型エクスプロイトチェーンの一貫した特徴であり、URLや添付ファイルを含めず、受信者に正当性を印象づけ、疑念を抱かせないようにする狙いがある。これにより、受信者がメールを開封・閲覧する可能性が高まり、CVE-2026-42897のエクスプロイトが起動される仕組みとなっている。

「これにより、JavaScriptのローダーがonloadイベントハンドラを利用して、メッセージ本文の残りを解析し、Base64フラグメントを組み立て、符号化されたJavaScriptとして実行する」とProofpointは説明している。「初期のエクスプロイトリガーおよび関連ペイロードの断片は、メッセージ本文HTML内のソーシャルメディアアイコンに格納され、次の段階のペイロードデータは#記号の後に保存されており、ブラウザがBase64から画像を解析する際に#以降を無視する仕組みとなっている。」

CVE-2026-42897を悪用する新たな波の最終段階では、MicrosoftのWebメールクライアント内で持続的なアクセスを実現するために設計された、未知のJavaScriptブラウザ型インプラント「OWAReaper」が展開される。

同マルウェアはハーフクリックエクスプロイト経由で配信される最も高度なバックドアとされ、ZimReaperの進化版で、ソースコードおよび動作に大きな共通点がある。OWAの閲覧ペイン内で実行され、Outlook APIを利用してExchangeサーバー上のメールを書き換え、エクスプロイトコンテンツを削除する。

併せて、マルウェアはOWAのポップアップおよび右クリック機能を無効化し、ターゲット固有のセッションキーを生成した後、ターゲットのメールアドレス、ユーザー名、Outlook設定を収集する。また、ブラウザの自動入力機能を利用して被害者のOWA保存認証情報を取得するため、WebページのDOMに2つの不可視のinput要素を生成する。

次のステップでは、暗号化された自身のコードと復号ラッパーをブラウザのlocalStorageに書き込む。これにより、ユーザーがブラウザでOWAタブを開くたびにマルウェアが自動的に実行される。

OWAReaperはReadWriteMailbox権限を持つOutlookアドインがインストールされているかを確認し、存在する場合はそれらを利用してOAuthトークンを窃取し、すべてのメールフォルダーに対してDefaultユーザーにOwnerレベルの権限を付与する。これにより、同一組織内の認証済みユーザーであれば誰でもメールボックスへの完全なアクセスが可能となる。

「感染チェーンの鍵となる点であり、TA488が組織内の他のアカウントにアクセスできれば、標的のメールボックスへの持続的なアクセスを維持できる」と研究者らは指摘している。「この持続的アクセスはサーバー側に存在し、Exchangeサーバーから意図的に削除しない限り存続する。認証情報の更新や標的ユーザーのデバイスの完全な再イメージ化を行っても、攻撃者は排除されない。」

さらに、マルウェアはOWAのオフラインIndexedDBメッセージキャッシュに保存されたメッセージに隠しiframe要素を追加し、キャッシュを有効化することで第2の永続化手法を確立する。このiframeは、被害者がキャッシュから悪意あるメールを開くたびに実行され、ホストが再イメージ化された後でも標的を再感染させる。

OWAReaperはコマンド＆コントロール（C&CまたはC2）通信に2つの手法を採用している点も特徴的である。GitHubまたは攻撃者から送信されたメールを利用してコマンドを解析・実行する。スクリプトは24時間ごとにGitHubのCommit Search APIを照会し、標的のメールアドレスを含むコミットメッセージを探す。

Cybersecurity

該当するコミットが見つかれば、データはJavaScriptにハードコードされた鍵とセッションごとのAES鍵を用いて解析・復号され、他の当事者がコマンドを抽出するのを防ぐ狙いがあるとみられる。復号されたデータには、特定のコマンド種別を示す4文字のヘッダーが含まれる。

  • code：OWAReaperのツールキット全体のコードを置き換える
  • domn：C&Cサーバーをローテーションする
  • cmnd：eval()経由で任意のJavaScriptコードを実行する

あるいは、OWAReaperはTA488オペレーターから送信された受信メールを解析し、GitHub方式と同一のコマンドを処理・実行することもできる。IndexedDB内で{target_email_address}{space}{Base64text}構造を持つメッセージ本文を検索する。

データ漏洩は主にHTTPS経由でAES-CTR暗号化されたURIパスを使用して行われる。この手法が失敗した場合、マルウェアはDNSラベルトンネリングを利用し、攻撃者管理ドメインに対する通常のDNSクエリ内にデータを隠蔽して送信する。

Proofpointは、本キャンペーンで使用された最も初期のインフラが2026年3月に作成されており、マイクロソフトがCVE-2026-42897を公表する2ヶ月前であったことから、ゼロデイとして悪用されていた可能性を指摘している。また、同社はTA488による2026年2月から7月22日までの活動を検知していないと述べている。

「OWAReaperはOWAブラウザコンテキスト内で動作し、ホスト上に痕跡を残さないステルス型インプラントとして機能し、2つのC&C通信チャネルと2つのデータ漏洩プロトコルを使用する」とProofpointは述べている。「ブラウザの再起動、認証情報の更新、被害者デバイスの完全な再イメージ化を耐え抜く能力を有する。」

「新たに観測された活動に基づき、TA488は政府・防衛分野に対するインテリジェンス収集を優先しつつ、幅広いセクターに関心を示しているようだ。ルアーのテーマは汎用的で目立たないため、標的はメールを開封・閲覧しやすく、最終的に見過ごしてしまう傾向がある。」

この記事が役に立ちましたか？ Google News、Twitter、LinkedInをフォローして、The Hacker Newsが発信する独占コンテンツをさらにご覧ください。