ロシア系ハッカー集団、Zimbraのゼロクリック脆弱性を悪用してメールを窃取

CISAは、ロシア政府系ハッキング集団Laundry Bear(別名Void Blizzard)が、Zimbra Collaborationメールサーバーを利用する組織を標的にしていると警告しています。同グループはフィッシング攻撃と、すでにパッチが適用されたZimbraの脆弱性の悪用を組み合わせて攻撃を仕掛けています。

CISAによると、Laundry Bearは防衛産業基盤(DIB)、連邦政府・地方自治体、教育、エネルギー、法執行機関、メディア、非政府組織、テクノロジー分野に関連する組織のユーザーを標的にし、実際に侵害を成功させています。

攻撃者はZimbraのCVE-2025-66376という脆弱性を悪用します。これはZimbra Collaboration SuiteのClassic UIに影響するクロスサイトスクリプティング(XSS)の脆弱性です。

この脆弱性により、特別に細工されたHTMLメールに埋め込まれたJavaScriptが、被害者がメッセージを閲覧するだけで自動的に実行されます。そのため攻撃者は、被害者にリンクをクリックさせたりフィッシングサイトを訪問させたりすることなく、アカウント情報を窃取できてしまいます。

CISAによると、Laundry Bearは2025年11月にZimbraがパッチを適用する以前からこの脆弱性をゼロデイとして悪用しており、現在もパッチ未適用のサーバーを運用する組織を標的にし続けています。この脆弱性は、その後CISAによって実際の攻撃で悪用されているものとしてタグ付けされました。

CISAによれば、Laundry Bearの悪用手口は、被害者の直近90日分のメール、メールアドレス、パスワード、グローバルアドレス一覧(GAL)、そして二要素認証(2FA)トークンを自動的に収集し送信するために使われています。

攻撃者はさらに、新しいZimbraアプリケーションパスコードを生成して自分たちに送り返します。このパスコードは、TOTP認証フローに対応していないIMAPやActiveSyncなどの旧式メールクライアントで利用されるものです。このパスコードを使うことで、攻撃者はMFAを回避しながらメールアカウントへのアクセスを維持できます。

CISAによると、このマルウェアは窃取した情報をDNSとHTTPSの両方を通じて、同グループの収集フレームワーク「Flowerbed」を稼働させる攻撃者管理下のサーバーへ持ち出します。

小さなデータはDNSのAレコードクエリにエンコードされて送信される一方、メールボックスのデータを含む大きなペイロードは、圧縮アーカイブとしてHTTPS経由で攻撃者管理下のサーバーにアップロードされます。

Zimbraの脆弱性を悪用するだけでなく、Laundry Bearは正規のZimbraログインポータルになりすますよう設計されたAiTM(中間者)フィッシングキットも利用しています。これにより認証情報とセッションクッキーを窃取し、攻撃者は標的のメールアカウントへのアクセス権を得ています。

CISAが公開した侵害の痕跡(IOC)によると、今回のキャンペーンではZimbraのインフラを装ったサイトが使われており、’mailnalysis.com’、’emailanalytics.com.ua’、’zimbrastat.com’、’zimbra-metadata.com’、’istc-cloud.com’、’zmailanalytics.com’といったドメイン名が確認されています。

今回の勧告では、Zimbraを利用する組織に対して以下を推奨しています。

• ソフトウェアを最新バージョンに更新し、利用可能なセキュリティ更新をすべて適用すること
• 公開された侵害の痕跡(IOC)を確認すること
• 特定されたドメインおよびIPアドレスへの接続がないかシステムを調査すること
• 不審な認証アクティビティを監視すること
• 特に「ZimbraWeb」を含む、不正なアプリケーションパスコードを失効させること
• 不正なメールボックスアクセスがないかアカウントを確認すること

CISAはまた、可能な限りフィッシング耐性のある多要素認証を導入することも推奨しています。

Laundry Bear、政府機関・警察・ウクライナを標的に

Laundry Bearハッキング集団は、2025年5月にオランダの情報機関によって初めてサイバースパイ活動の実行者として特定されました。

オランダの情報機関は、2024年に発生したオランダ国家警察への侵害事件についても、公式にこのグループの犯行であると特定しました。この事件では警察職員の個人情報が流出し、それまで知られていなかったロシアのスパイ活動グループの存在が明らかになりました。

Microsoftは同じグループをVoid Blizzardという名称で追跡しています。

少なくとも2024年以降、このグループはロシアの戦略的利益に沿った組織を対象に情報収集活動を行っており、主にNATO加盟国とウクライナを標的にしています。

Microsoftは別途、文書化しており、防衛、運輸、航空分野の組織を含む、ウクライナを支援する組織への侵害に成功していることも報告しています。

今年これに先立ち、BleepingComputerは、寄付要請を装ったマルウェアを送り込む慈善活動を騙るフィッシングメールを使い、ウクライナ軍を標的にした別のLaundry Bearキャンペーンを報じています。