ロシア国家が支援するハッカー集団Laundry Bearが、Zimbra Collaboration Suite(ZCS)ウェブメールプラットフォームの脆弱性を悪用し、少なくとも1年前から政府機関や企業のネットワークに侵入していたことが分かりました。
NSA、FBI、CISA、およびオランダ、英国、オーストラリア、カナダなど十数か国のサイバーセキュリティ機関による共同勧告によると、Laundry Bear(Void Blizzard、CL-STA-1114、TA488とも呼ばれる)は2025年7月からこのキャンペーンを展開しているとのことです。
「Laundry Bearの標的選定は、ロシア連邦のために機密情報を収集することがほぼ確実な目的であり、これらの攻撃者は主にメールデータの秘密裏の取得に注力しています」と、共同セキュリティ勧告は述べています。
被害は防衛産業基盤、連邦および地方政府、教育、エネルギー、法執行機関、メディア、非政府組織、テクノロジー分野にまで及んでいます。
Laundry Bearは2025年5月に初めて特定されました。オランダ情報機関がオランダ国家警察での侵害を追跡した結果、警察職員のアカウントに侵入するためにセッションクッキーを盗む集団であることが判明しました。
攻撃者、ZimbraのXSS脆弱性を悪用
攻撃者による最新のキャンペーンは、Zimbraのウェブベースメール・コラボレーションスイートに存在するクロスサイトスクリプティング(XSS)脆弱性であるCVE-2025-66376を標的にしています。この脆弱性は2025年11月に修正パッチが提供されました。
勧告によると、この集団は修正パッチの公開後も同じエクスプロイトを使い続けており、未修正のサーバーは依然として危険にさらされたままだとしています。
この脆弱性を悪用すると、巧妙に細工されたHTMLメールに埋め込まれたJavaScriptが、メッセージを閲覧しただけで実行されてしまいます。そのため攻撃者は、被害者にリンクをクリックさせたりフィッシングページを訪問させたりすることなく、アカウントデータを窃取できます。
「ユーザーにリンクのクリックやファイルを開くといった操作を促す従来型のフィッシングキャンペーンとは異なり、Laundry Bearの最新のキャンペーンは、脆弱なバージョンのウェブメールサービス内で悪意あるメールを閲覧するだけで発動する、閲覧ベースのエクスプロイトを利用しています」と勧告には記されています。
CISAによると、Laundry Bearのエクスプロイトは、被害者の過去90日分のメール、メールアドレスとパスワード、組織のメールディレクトリ(グローバルアドレスリストを含む)、二要素認証トークン、そして新たに作成されたアプリケーションパスコードの収集に使われています。
「収集されたデータは、精査と長期保存のためにほぼ確実に内部ネットワークのリソースへとさらに持ち出されています」と各機関は付け加えています。
クラウドサーバーとVPNで攻撃活動を隠蔽
盗まれたデータは、勧告が「Flowerbed」と呼ぶバックエンドに送られます。これはレンタルクラウドサーバー上で稼働する一連のDockerコンテナ群です。そのうちの一つであるコンテナ「Catcher」は、DNSサーバーとHTTPサーバーの両方の役割を担い、盗まれたデータを受信します。
別のコンテナはLet’s Encrypt証明書を扱い、通信を一見普通の暗号化されたウェブトラフィックのように見せかけています。この集団はこれらのサーバーへのログイン時にMullvad VPNを利用し、7日から60日ごとにインフラを入れ替えることで、長期的な追跡を困難にしています。
「単純な構造のFlowerbedのコードベースには、人工知能(AI)がその開発に関与した形跡があります」と勧告は指摘しています。
組織が取るべき対策
リスクを軽減するため、各組織はZimbraの導入環境を最新版に更新し、公開されている侵害指標(IOC)を確認するとともに、特定されたドメインやIPアドレスとの通信がないか確認することが推奨されます。
また、認証活動の異常を監視し、特に「ZimbraWeb」という名前で作成された不正なアプリケーションパスコードを取り消し、アカウントに不正なメールボックスアクセスがないか確認する必要があります。
「アプリケーションパスコードには非悪意的な用途もありますが、今回のケースでは「ZimbraWeb」という名前が付いたパスコードのインスタンスはほぼ確実に悪意のあるものです」と勧告は警告しています。
翻訳元: https://www.helpnetsecurity.com/2026/07/24/laundry-bear-zimbra-vulnerability-cve-2025-66376/
