ロシア連携のTA488、Outlook Web Accessへの持続的攻撃で再登場

ロシアと連携するサイバースパイ集団が、数カ月間活動が観測されていなかった状態から再び姿を現しました。オンプレミス版Outlook Web Access(OWA)を標的としたハーフクリック型エクスプロイトを使い、ブラウザ常駐型のインプラントを仕込んだうえで、資格情報のローテーションやデバイスの再イメージ化を経ても存続できるサーバー側の持続性を確立しています。

Proofpointが7月29日に公開した新たな調査によると、Void BlizzardやLaundry Bearとしても追跡されているTA488は7月22日にこのキャンペーンを開始しました。これは、同社がNSAおよび関連機関と共同で、同グループの過去のZimbraを狙った活動について注意喚起を発表するわずか1日前のことです。同グループの活動は2月以降観測されていませんでした。

標的は米国および欧州の政府機関に加え、通信、金融、ホスピタリティ、航空宇宙の各セクターに及びました。この攻撃規模は同グループとしては異例であり、Proofpointは大量送信型スパムに紛れ込ませる意図があった可能性を指摘しています。

関連記事: ロシアのハッカー、西側諸国の組織を狙う新たな「ゼロクリック」攻撃を悪用

ありふれた誘い文句、クリック不要

この攻撃メールは、Exchange Onlineではなくオンプレミス版Exchange Serverに影響するクロスサイトスクリプティングの脆弱性であるCVE-2026-42897を悪用していました。

脆弱性のあるOWAクライアントでメールを開くと、被害者のブラウザが認証済みセッション内で埋め込まれたJavaScriptを実行してしまう仕組みです。

誘い文句はあえて目立たないものが選ばれており、件名には半導体サプライチェーン、ガス市場、観光統計などが使われていました。

Proofpointによれば、こうしたありふれた内容は意図的なものである可能性が高いといいます。受信者がメールを開いてざっと目を通した後、迷惑メールとして処理し通報しないよう仕向けることで、怪しいリンクや添付ファイルといった警戒すべき手がかりを一切残さないようにしているとみられます。

デバイスを超えて存続する持続性

使用されたペイロードはOWAReaperと呼ばれる、これまで知られていなかったJavaScriptインプラントで、Proofpointはこれをこれまで観測した中で最も洗練されたハーフクリック型バックドアだと評しています。これは同グループのZimbraキャンペーンで使われたZimReaperを土台にしていますが、大量メール窃取機能は省かれています。

OWAReaperはOWAの閲覧ペイン内で完全に動作し、ディスク上に通常のファイルを残しません。サーバー上でオリジナルのメールを書き換えてエクスプロイト部分を除去し、保存されている資格情報を収集したうえで、正規のOWA設定キーの下にあるブラウザのlocalStorageに暗号化した自身のコピーを隠しておきます。これにより、新しいタブが開かれるたびに再実行される仕組みです。

最も持続性の高い仕組みはサーバー側にありました。メールボックスへの書き込み権限を持つアドインが存在する環境では、OAuthトークンを窃取し、Exchangeの低権限であるDefaultユーザーに、すべてのメールフォルダに対する所有者(Owner)レベルの権限を付与していました。これにより、組織内の認証済みアカウントであれば誰でもそのメールボックスにアクセスできる状態になります。

さらに、OWAのオフラインIndexedDBキャッシュに保存されたメッセージ内に隠しiframeを仕込んでおり、これによりホストが再イメージ化された後でも標的を再感染させることが可能でした。フォルダ権限の付与はサーバー側に存在し、Exchangeから意図的に削除しない限り解除されないため、資格情報のローテーションや再イメージ化だけでは攻撃者を排除できませんでした。

2つのコマンドチャネル、2つの窃取経路

コマンドは、毎日照会されるGitHubのコミットメッセージ、または5分ごとにポーリングされる受信メールを通じて送られていました。データの窃取はHTTPS経由で行われ、正規の画像配信CDNを経由してプロキシされるほか、フォールバックとしてDNSトンネリングも用いられていました。

このキャンペーンのインフラは2026年3月にまで遡り、これはMicrosoftが当該脆弱性を公表するおよそ2カ月前にあたります。登録日だけでは実際の悪用開始時期を確定できないものの、ゼロデイとしての悪用が現実的であったことを示しています。Microsoftはその後、この脆弱性に対処するExchangeのセキュリティ更新プログラムを公開しています。

パッチ適用に加え、Proofpointは防御側に対し、Exchange Web Servicesのトークンを失効させること、Defaultユーザーに付与されたフォルダ権限を剥奪すること、そしてOWAのオフラインデータベースとlocalStorageのキーを消去することを推奨しています。