ロシア政府の支援を受けるとみられる脅威グループが、2025年7月以降、Linuxベースの一般的なエンタープライズソフトウェアに存在する新手のエクスプロイトを利用し、各国政府や民間企業から機密データを窃取していたことが分かりました。米当局および10カ国以上のサイバー担当当局は、木曜日に発表した共同サイバーセキュリティ勧告でこの脅威について警告しています。
当局によると、「Laundry Bear」による今回最新のスパイ活動は、Zimbra Collaboration Suiteに存在するゼロデイ脆弱性の悪用を伴うもので、この脆弱性が修正されたのは攻撃開始からすでに5カ月が経過した2025年11月になってからだったといいます。
このエクスプロイトはメールを開いて表示するだけで発動し、クリックの必要すらありません。悪用されると、攻撃者は過去90日分のメール、アカウントのパスワード、検索履歴、被害組織のメールディレクトリ、二要素認証トークン、さらには新たに作成されたパスワードまで窃取できてしまいます。
「今回の活動が示す隠密性と持続性、そして金銭的な恐喝の兆候が一切見られないという点から、このグループがロシア政府の後ろ盾を受けたスパイ活動に関与していることはほぼ間違いありません」と当局は勧告の中で記しています。
「さらに、米国やその他のNATO加盟国を狙う前にウクライナのユーザーを広範に標的としていたことは、ロシアのサイバー脅威グループの間で、まず優先標的として、そして世界規模での展開に先立つ悪意あるサイバー技術の実験台として、ウクライナのユーザーを最初に狙う傾向が強まっていることを浮き彫りにしています」
「Void Blizzard」の名でも知られるこの国家支援型スパイ活動グループは、防衛、教育、エネルギー、法執行、メディア、金融、運輸、テクノロジーの各分野において、各国政府や組織のシステムを侵害してきました。
Laundry Bearによる1年に及ぶCVE-2025-66376の悪用キャンペーンは、フィッシングメールを通じて標的の被害者にカスタムJavaScriptペイロードを送り込むなど、より高度な技術力を示すものとなっています。当局は、この脅威グループが「beehive」と名付けられた新手のデータ窃取・集約機能を、他の脆弱性の悪用にも応用できる可能性が高いと警告しています。
この欠陥の深刻度が6.1の「中」評価にとどまっている点は、深刻度の数値だけを基準にパッチ適用の優先順位を決めることの難しさを、防御側に改めて突き付けています。
当局によると、少なくとも2024年から活動しているこのロシア国家支援グループは、現在もパッチが未適用のまま残るZimbra Collaboration Suiteのインスタンスを積極的に攻撃し続けているといいます。
当局は木曜日、侵害の痕跡(IoC)や緩和策を公表し、各組織に対して脆弱性のあるソフトウェアを更新するよう呼びかけました。
「今回のキャンペーンにおける被害者の選定傾向と限定的な悪用能力から見て、このグループは公開されたインフラを持つ組織を特定した上で、手作業によって被害組織を選定し標的にしている可能性が高いといえます」と当局は勧告の中で述べています。
標的組織を特定した後、Laundry Bearはさらに、フィッシングメールによるエクスプロイトの標的とするユーザーのメールアドレスを収集していたとみられます。当局は特定の被害者や、すでに侵害された組織の数については明らかにしていません。
今回の共同サイバーセキュリティ勧告は、米国、オーストラリア、カナダ、ニュージーランド、英国、チェコ共和国、デンマーク、エストニア、フィンランド、フランス、イタリア、モルドバ、オランダ、ポーランド、スペイン、スウェーデンによって発表されました。
翻訳元: https://cyberscoop.com/russian-laundry-bear-zimbra-exploit/
