PATCHES
フィッシング入門
クレムリン配下のサイバー工作員たちは、少なくとも1年前からZimbraの脆弱性を突いて政府機関や企業のネットワークに侵入を続けています。今回の手口は、ロシアが常套手段とするフィッシング詐欺に新たなひねりを加えたもので、被害者がメールを開いてリンクをクリックしたりファイルを開いたりする必要すらなく、メールを一目見ただけで攻撃が成立してしまうのが特徴です。
米国、英国をはじめとする国際的な政府機関27機関という驚くべき規模の共同発表によると、この一連の攻撃は2025年7月から続いており、彼らがLaundry Bear(別名Void Blizzard)として追跡しているグループの犯行だとしています。
共同セキュリティ勧告によれば、「Laundry Bearの標的選定は、ロシア連邦のために機密情報を収集することがほぼ確実な目的であり、これらの攻撃者は主にメールデータの秘密裏の取得に焦点を当てている」とのことです。
ロシア側の最新キャンペーンは、Zimbraのウェブベースのメール・コラボレーションスイートに存在するクロスサイトスクリプティング(XSS)脆弱性であるCVE-2025-66376を狙ったものです。このパッチは2025年11月に提供されましたが、モスクワ側の攻撃者はそれよりずっと前からこの脆弱性を悪用していました。この種の脆弱性は、被害者が閲覧するウェブページに攻撃者が悪意のあるJavaScriptを注入することを可能にします。
今回のケースでは、フィッシング熊たちはZimbra Collaboration Suiteのこのセキュリティホールを悪用し、マルウェアを仕込んだHTML形式のメールを西側諸国の組織に送りつけていました。標的となった組織には、防衛産業基盤、連邦政府や地方自治体、教育、エネルギー、法執行機関、メディア、非政府組織(NGO)、テクノロジー分野の企業などが含まれています。
今回のキャンペーンで使用されたメールアドレスの一部として、ivanka.zurabishvili@proton[.]me、zmul1@buildandconsulting[.]com、garrysmithme@pinmx[.]net、hostingclient@pinmx[.]netなどが確認されているとのことです。
この攻撃は、悪意のあるメールを閲覧すること以外にユーザーの操作を一切必要とせず、閲覧しただけで攻撃者は大量のデータの窃取に着手します。窃取対象には、被害者の過去90日分のメールでのやり取り、メールアドレスとパスワード、グローバルアドレス一覧などの組織のメールディレクトリ、二要素認証トークン、新規に作成されたアプリケーションパスコードなどが含まれます。
その後、攻撃者はこれらの窃取した認証情報を使って被害者のメールへのアクセスを維持し、アカウント設定を変更したり認証情報を収集したりします。
Laundry Bearは、窃取した情報を、独自の収集フレームワーク「Flowerbed」を稼働させている出所不明の仮想プライベートサーバー(VPS)に保管しています。FlowerbedはDockerによるコンテナ化を利用したPythonプロジェクトです。政府機関は「Flowerbedの単純なコードベースには、開発に人工知能(AI)が関与した痕跡が見られる」と指摘しています。
31ページに及ぶこのセキュリティ勧告には、詳細な侵害指標(IOC)のセクションが含まれており、各組織はこれを確認して今回のキャンペーンによる侵害を受けた人物を特定すべきだとしています。
また、各機関は、CVE-2025-66376の影響を受けないパッチ適用済みバージョンに更新するまでの間、従業員によるZCSウェブメールクライアントの使用を最小限に抑えるよう推奨しています。®
