ロシア政府の支援を受けているとみられる脅威アクター「LAUNDRY BEAR」が、Zimbra Collaboration Suite(ZCS)のウェブメールに存在した旧ゼロデイ脆弱性を悪用し、標的組織から最大90日分のメール通信、認証情報、社内アドレス帳データを窃取していたことが分かりました。
2026年7月23日に公開された共同サイバーセキュリティ勧告で詳細が明らかにされたこの攻撃活動は、少なくとも2025年7月以降、西側諸国の政府機関や民間企業を標的にしてきました。
このキャンペーンの被害を受けたのは、防衛産業基盤、政府機関、エネルギー、教育、法執行機関、メディア、非政府組織(NGO)、テクノロジーの各分野の組織です。
LAUNDRY BEARは、セキュリティ業界の一部ではVoid Blizzard、CL-STA-1114、TA488とも呼ばれており、ロシアの諜報活動を支援する目的で活動しているとみられています。同グループの活動は、金銭目的の恐喝ではなく、秘密裏の情報収集に主眼を置いているようです。
今回のキャンペーンは、脆弱性のあるZimbraウェブメールにおいてカスケーディングスタイルシート(CSS)の@importディレクティブの適切なサニタイズが行われていないことに起因する、クロスサイトスクリプティング(XSS)の脆弱性CVE-2025-66376を悪用しています。
Synacorは2025年11月にこの問題を修正していますが、脆弱性自体が正式に採番・公開されたのは2026年1月でした。
従来のフィッシング攻撃とは異なり、この悪意あるメールはリンクのクリック、添付ファイルのダウンロード、認証情報の入力といった操作を一切必要としません。脆弱なZimbraウェブメールのインターフェース上で細工されたメールを閲覧するだけで、埋め込まれたJavaScriptが実行されてしまいます。
攻撃ペイロードはSVG要素のonloadフィールドに隠されており、Base64エンコードとXOR暗号化を組み合わせることで、最終的なデータ収集スクリプトを難読化しています。
攻撃者は暗号化キーを変更したり、機能しない@import文を挿入したりできるため、ペイロードを迅速に変化させ、単純なシグネチャベースの検知を回避することが可能です。
CISAによると、この攻撃手法は当初ゼロデイとして機能していました。LAUNDRY BEARがベンダーによる修正パッチの提供より数か月も前からこの脆弱性の悪用を開始していたためです。
今回のキャンペーンは、同グループがパスワードスプレー攻撃、認証情報窃取、中間者(AiTM)フィッシングといった手法から、より高度な技術力を要するメールプラットフォームの脆弱性悪用へと戦術をシフトさせていることを浮き彫りにしています。
LAUNDRY BEARは、ロシア語で「蜂の巣」を意味する「Ulej」と名付けた独自のツールを使い、被害者情報の収集と外部への持ち出しを行います。このマルウェアは実行されると12段階の非同期処理を経て、被害者のメールアドレス、Zimbraのバージョン、現在使用中のウェブメールURL、デバイス情報、OAuthコンシューマー情報、グローバルアドレスリスト(GAL)、メールアーカイブなどを収集します。
このマルウェアは、過去90日間に送受信された迷惑メール以外のすべてのメッセージの取得を試みます。1日単位でクエリを実行し、取得したメッセージをGZIP形式で圧縮したうえで、攻撃者が管理するインフラへ送信します。
この攻撃活動では、継続的なメールボックスへのアクセス手段の確立も狙われています。具体的には、IMAPの有効化、「ZimbraWeb」という名称のZimbraアプリケーションパスコードの作成、二要素認証のリカバリー時に使われるスクラッチコードの収集、さらに非表示のログインフィールドを利用してブラウザのパスワードマネージャーが自動入力するパスワードを抜き取ることなどが試みられます。
収集された情報は、同グループが使用する「Flowerbed」というフレームワークに送信されます。これは短命な仮想プライベートサーバー(VPS)上に展開される、Dockerベースのインフラです。
Flowerbedは、Catcher、Certbot、Nginx、Gardenerといった各種コンテナを用いて、窃取したデータの受信、暗号化、集約、監視を行います。攻撃者はHTTPSとDNSの両方を使った持ち出し手法を用いており、これにより機密性の高いメタデータが被害組織の環境外へ流出することになります。
Zimbraを運用している組織は、CVE-2025-66376の影響を受けるシステムを直ちに特定し、パッチを適用する必要があります。セキュリティチームは、メールログや外部宛てのDNSリクエストについても、不審なエンコード済みサブドメインがないか確認すべきです。
管理者は、影響を受けた可能性のあるアカウントの認証情報をリセットし、有効なセッションを無効化するとともに、二要素認証のリカバリーコードをローテーションし、メールボックスの委任設定やOAuth設定を確認したうえで、CISAのSTIXフィードで公開されている侵害の痕跡(IoC)をブロックすることが求められます。
LAUNDRY BEARは今後もZimbraをはじめ、西側諸国の組織が利用するその他のメールプラットフォームを標的にし続けるとみられることから、ウェブメールの活動を継続的に監視することが引き続き不可欠です。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/russian-laundry-bear-hackers-exploit/
