eSecurity Planet のコンテンツおよび製品推奨は編集上独立しています。パートナーへのリンクをクリックいただくことで、当社が収益を得る場合があります。 詳細はこちら
ロシアと関係の深い脅威アクターTA488が、Zimbraの脆弱性CVE-2025-66376を少なくとも5か月間にわたって悪用していたことが判明しました。被害者が悪意のあるメールを開いたり、プレビューしたりするだけで攻撃が発動する「ハーフクリック」攻撃です。
このキャンペーンはウクライナおよび米国の政府機関、国防機関、科学関連組織を標的とし、攻撃者は機密性の高いメールを窃取するとともに、侵害したメールサーバーへの持続的なアクセスを維持していました。
ExabeamでAI戦略・セキュリティ研究担当バイスプレジデントを務めるSteve Povolny氏は、eSecurityPlanetへのメールで「興味深いのは、公になってから1年以上が経過した脆弱性でも、攻撃者が今なお成功を収めているという点だ」と指摘しています。
同氏はさらに、「ゼロデイの寿命には限りがあるが、パッチ適用の管理体制が不十分だと、その有効期間は事実上無期限に延びてしまう」と説明しています。
Corsica TechnologiesのCISOであるRoss Filipek氏も、「脆弱性を抱えたZimbra環境では、悪意のあるメールを閲覧するだけで攻撃が発動してしまう。これはセキュリティ研修の多くが前提としている警戒サインそのものを無効化してしまうものだ」と付け加えています。
TA488によるZimbra攻撃キャンペーンの要点
- ロシア系脅威アクターTA488は、ブラウザベースのハーフクリック攻撃を用い、Zimbraの脆弱性CVE-2025-66376を少なくとも5か月間悪用
- 悪意のあるメールを開いたりプレビューしたりするだけで、リンクのクリックや添付ファイルを開く操作なしに攻撃者はJavaScriptを実行可能に
- ZimReaperと呼ばれるマルウェアが認証情報を窃取し、メールボックスへの持続的アクセスを確立、約90日分のメールデータを外部に送信
- ウクライナおよび米国の政府機関、国防機関、科学関連組織を標的とし、侵害したメールボックスを悪用して攻撃を拡大
- 組織はZimbraへのパッチ適用、メールサーバーの継続的な監視、被害範囲を限定するゼロトラスト対策を優先すべき
TA488によるZimbra攻撃の手口
従来のフィッシングとは異なり、TA488のハーフクリック攻撃は、脆弱性を抱えたZimbraクライアントで被害者が悪意のあるメールを開いたり、プレビューしたりした時点で発動します。
メールが表示されると同時に、攻撃者が制御するJavaScriptがユーザーの認証済みブラウザセッション内で自動的に実行され、追加の操作を一切要求することなく攻撃者にアクセス権を与えてしまいます。
Proofpointによると、TA488(Void BlizzardやLaundry Bearとしても追跡されている)は主にウクライナの政府機関を標的とし、あわせて米国の政府機関、国防機関、科学関連組織も狙っていたとのことです。
攻撃者は、侵害済みのアカウントと攻撃者が管理するProton Mailアドレスの両方から悪用コードを仕込んだメールを送信しており、受信者にとって正規のメールに見える可能性を高めていました。
CVE-2025-66376がブラウザベースの侵害を可能にした仕組み
今回のキャンペーンは、Zimbraのクライアント側HTMLサニタイザーに存在するクロスサイトスクリプティング(XSS)の脆弱性であるCVE-2025-66376を悪用したものです。
TA488は悪意のあるHTMLをメールメッセージに直接埋め込み、HTMLタグの分割、偽のCSS @importディレクティブ、HTMLコメントといった手法でペイロードを偽装していました。
Zimbraのサニタイザーは、断片化されたコードを悪意あるものとして検知できませんでしたが、被害者側のブラウザがそのHTMLを実行可能なJavaScriptとして再構成してしまい、ペイロードが自動的に実行される結果となりました。
2025年10月以降、同グループは検知回避能力をさらに強化しており、実行前にキャンペーンごとに異なるXORキーで最終的なJavaScriptペイロードを暗号化するようになりました。
ZimReaperによる持続的アクセスの確立とデータ窃取の手口
Proofpointは、このキャンペーンで使用されたマルウェアをZimReaperとして追跡しています。
認証済みブラウザセッション内で実行された後、このマルウェアはクロスサイトリクエストフォージェリ(CSRF)トークン、ブラウザに保存されたパスワード、二要素認証のリカバリーコード、メールアドレス、Zimbraサーバー情報を収集していました。
また、「ZimbraWeb」という名前のアプリケーション専用パスワードも作成しており、これにより多要素認証を迂回する形でIMAP、POP3、SMTPへの持続的なアクセスが可能になっていました。
認証情報の窃取にとどまらず、ZimReaperは組織内の連絡先を列挙し、アクセス可能な約90日分のメールをエクスポートしたうえで、DNSトンネリングやHTTP POSTリクエストを使って窃取データを外部に送信していました。
Proofpointはさらに、TA488が侵害済みのメールボックスを悪用し、新たな標的に追加の悪用メールを配信している様子も確認しています。
被害組織内部の信頼されたアカウントから悪意のあるメッセージを送信することで、同グループはスピアフィッシングキャンペーンの信憑性を高めると同時に、政府機関や企業ネットワーク全体へとアクセスを拡大していました。
組織がZimbra攻撃のリスクを低減する方法
TA488はブラウザベースの悪用、認証情報の窃取、持続的アクセスの確立、データ窃取を組み合わせて攻撃を仕掛けていたため、こうしたキャンペーンへの対策にはパッチ適用とメールサーバー活動の継続的な監視の両方が求められます。
- すべてのZimbraサーバーを最新バージョンへパッチ適用し、予期しない「ZimbraWeb」アカウントなど、アプリケーション専用パスワードへの不正な登録を無効化するか、厳重に監視すること
- ZimbraのAPI活動、メールボックスのエクスポート、認証イベント、大量のメールダウンロードを監視し、不正アクセスの兆候を確認すること
- アウトバウンドのDNSトラフィックを検査し、トンネリング活動やデータ窃取を示唆するその他の異常なクエリがないか確認すること
- 難読化されたHTMLコンテンツを検知できるようメールセキュリティを強化し、最新のウェブメール保護機能とセキュリティ更新を適用すること
- 最小権限のアクセス制御を適用し、特権アカウントを継続的に監視するとともに、メールサーバーと認証のログを一元化して脅威検知に役立てること
- ブラウザベースの攻撃、認証情報の窃取、ウェブメールの侵害を想定したシナリオで攻撃シミュレーションツールを用い、インシデント対応計画をテストすること
こうした対策により、組織は検知能力を強化し、攻撃者による持続的アクセスを抑え込み、インシデント対応全体の質を高めることができます。
結論
ウェブメールプラットフォームは、機密性の高いやり取りや認証情報、信頼されたIDへの直接的なアクセス手段を提供することから、国家的な脅威アクターにとって依然として魅力的な標的であり続けています。
組織は、メールセキュリティ戦略をフィッシング対策だけにとどめず、継続的な監視、脆弱性への対応、侵害後の活動を検知するための対策まで含めて拡充すべきです。
こうしたキャンペーンは、侵害されたIDや企業アプリケーションによる影響を最小限に抑えるうえで、ゼロトラストがなぜ基盤となるセキュリティ戦略として重要視されているのかを改めて示しています。
