Laundry Bearによるウェブメール攻撃、2月以降さらに活動を拡大していたと報告

研究者らによると、ロシア国家と関係の深いハッキンググループ「Laundry Bear」は、当初考えられていたよりもここ数カ月活発に活動していたことがわかりました。

政府機関やサイバーセキュリティ企業は7月23日、このサイバースパイグループがZimbra Collaboration Suiteのウェブメールプラットフォームの脆弱性を、直近では2月にも悪用していたと警告していました。これを受けて水曜日、Proofpointの研究者らは最新情報を発表し、同じハッカーらが国際的な警告が出される前日から、Microsoft Outlook Web Access（OWA）の脆弱性を悪用し始めていたことを明らかにしました。

Laundry Bearは「米国および欧州の政府機関、さらには通信、金融、ホスピタリティ、航空宇宙の各分野」を標的にしていたと研究者らは述べています。その狙いは、Zimbraユーザーを狙ったキャンペーンと同様、メールとアカウント認証情報の窃取でした。

このマルウェアキャンペーンは「同グループの手口と能力の向上」を示すものだと、Proofpointは指摘しています。

「この新たな感染チェーンの最終段階では、私たちがOWAReaperと呼ぶ、これまで確認されていなかったJavaScriptベースのブラウザ実装型インプラントが投下されます。これはOWA内での永続的なアクセス確保を目的として作り込まれたものです」と研究者らは説明し、Laundry Bearがこの脆弱性をゼロデイとして悪用していた可能性は「十分にあり得る」と付け加えています。

Laundry Bearは「ハーフクリック」攻撃によってアカウントを侵害していたと、Proofpointは述べています。つまり、メールを開くだけで感染チェーンが始まってしまう仕組みです。

OWAReaper自体について研究者らは、「ハーフクリック攻撃を通じて配布されるバックドアの中で、Proofpointがこれまで確認した中でも執筆時点で最も高度なものだ。主な理由は、その巧妙な永続化の仕組み一式にある」と述べています。同報告書の執筆者の一人であるGreg Lesnewich氏はソーシャルメディア上で「これまで調査した中で最も興味深いインプラントの一つだ」と述べています。

TA488やVoid Blizzardとしても追跡されているLaundry Bearは、3月にはすでにOWAReaperキャンペーンの下準備を進めていたと、Proofpointは説明しています。CVE-2026-42897として追跡されているこのOWAの脆弱性は、5月に初めて公表され、パッチが提供されました。Microsoftが修復情報を最初に公開したのは7月中旬のことです。

Proofpointによると、先週の警告発表の際には7月22日の発見内容を分析・反映する時間が十分になかったといいます。

オランダ当局とMicrosoftは昨年、Laundry Bearを高度persistent脅威（APT）グループとして初めて特定していました。米検察当局は、このグループとロシアのIT企業Yutek-NNとの関連性を指摘しており、同社はFSB(ロシア連邦保安庁)とのつながりを持つとされています。