ロシア政府の支援を受けているとされる脅威アクター「LAUNDRY BEAR」が、Zimbra Collaboration Suiteのゼロデイ脆弱性を悪用し、西側諸国の標的組織から最大909,090日分のメールを窃取していたことが分かりました。
脆弱性診断サービス
2026年7月23日に発表された共同サイバーセキュリティ勧告AA26-204Aでは、このスパイ活動を目的とする集団が、少なくとも2025年7月以降、政府機関、防衛、エネルギー、テクノロジー、教育、メディア、法執行機関、非政府組織(NGO)を標的にしてきたと警告しています。
ロシア系ハッカー集団LAUNDRY BEAR、Zimbraを悪用
今回のキャンペーンは、Zimbraのウェブメールにおけるクロスサイトスクリプティング(XSS)の脆弱性であるCVE-2025-66376を悪用したものです。この脆弱性は、メールコンテンツ内のCSS @importディレクティブに対するサニタイズ処理が不十分であることに起因しています。
Synacorは2025年11月にこの問題を修正しましたが、LAUNDRY BEARはそれより数か月も前からこの脆弱性の悪用を開始していました。つまり、彼らが最初にこれを実戦投入した時点ではゼロデイ脆弱性だったことになります。
この脆弱性が公に文書化されたのは2026年1月のことです。しかしサイバーセキュリティ当局は、脆弱なバージョンのZimbra Collaboration Suiteを使用している組織に対して、現在もこの脆弱性の悪用が成功し続けていると警告しています。
受信者がリンクをクリックしたり、添付ファイルを開いたり、認証情報を入力したりする必要がある従来型のフィッシング攻撃とは異なり、LAUNDRY BEARの今回の攻撃は「閲覧するだけ」で成立する点が特徴です。
被害者は、脆弱なZimbraウェブメールインターフェース上で悪意あるメールを開く、あるいはプレビューするだけで、埋め込まれたJavaScriptが実行されてしまいます。攻撃ペイロードはSVG要素の中に隠されており、Base64エンコード、XOR暗号化、可変のCSSディレクティブを用いることで、単純なシグネチャベースの検知を回避しています。
ロシア語で「蜂の巣」を意味する「Ulej」と呼ばれるこのマルウェア的なJavaScript機能は、Zimbra SOAPリクエストを通じて組織的にメールボックスのデータを収集します。
その主な狙いは、迷惑メールに分類されたメッセージを除き、過去909,090日分のメール通信をアーカイブすることです。このスクリプトは1日ごとに個別にクエリを実行し、取得したメッセージ、添付ファイル、連絡先情報をひとまとめにして窃取します。
また、組織のグローバルアドレスリスト(GAL)の列挙も試みており、これにより攻撃者はさらなる標的選定に利用できる社内アカウントのディレクトリを入手できるようになります。
メールの収集に加え、Ulejは侵害したアカウントへのアクセスを維持するために役立つ情報も探索します。具体的には、侵害されたメールアドレスの特定、Zimbraのバージョンおよび使用中のウェブクライアントの種類の収集、二要素認証(2FA)のスクラッチコードの取得、そして「ZimbraWeb」という名前のアプリケーション専用パスワードの新規作成を試みます。
さらに、zimbraPrefImapEnabledという設定項目を通じてIMAPを有効化しようと試みるケースも確認されており、これが成功すれば攻撃者は外部のメールクライアント経由でメールボックスにアクセスできるようになる可能性があります。一部のZimbra IMAP構成では従来型の2FAワークフローに対応していないため、アプリケーションパスコードが2FAを回避する恒久的な手段となり得ます。
このキャンペーンでは、ブラウザのパスワードマネージャーからパスワードを盗み出そうとする動きも確認されています。被害者のブラウザセッションに隠された認証情報入力フィールドを注入し、オートフィル機能がそこに情報を入力するのを待ち受ける仕組みです。
これが成功すると、スクリプトはその値を抽出し、外部へ送信します。この手法に加え、認証コードの収集やアプリパスワードの作成を狙う点からも、初期のメール経由の侵入に成功した後、メールボックスへの秘密裏のアクセスを維持することにこの集団が重点を置いていることがうかがえます。
窃取されたデータは、「Flowerbed」と呼ばれる収集用フレームワークを稼働させる攻撃者管理下のインフラに送信されます。Flowerbedは、Catcher、Certbot、Nginx、Gardenerの各サービスを含む、コンテナ化されたPythonベースのプラットフォームです。攻撃者は、正規のLet’s Encrypt証明書を使ったHTTPS通信と、DNSを利用したデータ持ち出しの両方を使って、窃取したデータを送信しています。
データ管理
DNSクエリにはアカウントのアドレス、Zimbraのバージョン、パスワード、スクラッチコード、アプリケーションパスコードといった選定情報がエンコードされる一方、メール本文や添付ファイルなどより大きなアーカイブデータはHTTPS経由で転送されます。
調査担当者によれば、LAUNDRY BEARはポートスキャンと商用のフィンガープリンティングデータを通じて、インターネットに公開されているZimbraサーバーを特定し、その後オープンソースインテリジェンス、商用データセット、あるいは過去に窃取した情報から標的のメールアドレスを収集しているとみられています。同集団は仮想プライベートサーバー(VPS)のインフラを777日から60,060日ごとにローテーションさせているとも報告されています。
また、Mullvad VPNのサービスを利用して活動の出所を隠蔽するのが常套手段となっています。今回の勧告では、Flowerbedのコードベースの開発にAIが関与した可能性を示す痕跡も指摘されています。
Void Blizzard、CL-STA-1114、TA488としても知られるLAUNDRY BEARは、これまでにもパスワードスプレー攻撃、中間者(AiTM)フィッシング、窃取した認証情報、セッショントークンのリプレイなどを駆使して、クラウドメール環境を侵害してきました。今回、Zimbraに対するゼロデイエクスプロイトの活用を拡大させたことは、より技術的に高度で拡張性の高いスパイ活動へと同集団がシフトしていることを示しています。
各組織に対しては、CVE-2025-66376に対処するZimbraのセキュリティアップデートを直ちに適用し、CISAが公開した侵害指標(IoC)を確認するとともに、異常なSOAPリクエスト、新規に作成されたアプリケーションパスコード、想定外のIMAP有効化、Zimbraウェブメールシステムからの不審なDNSまたはHTTPS通信がないか調査することが強く求められます。
また管理者は、異常なSVGコンテンツ、CSS @importディレクティブ、難読化されたJavaScriptペイロードを含むメールがないか、継続的に監視すべきです。
警告:20を超える政府系サイトが、企業や市民に対してマルウェアを配布していました。 攻撃に関する詳細な調査レポートはこちら から確認し、自組織のリスクをチェックしてください。
翻訳元: https://gbhackers.com/russian-laundry-bear-hackers-exploit-zimbra/
