ロシア政府の支援を受けたハッキング集団Laundry Bear(別名Void Blizzard)が、Exchange Outlook Web Accessの脆弱性を悪用したメールキャンペーンを展開し、「OWAReaper」と呼ばれる高度なバックドアを送り込んでいることが分かりました。
メールセキュリティ企業Proofpointは1週間前にこの活動を確認しており、標的には米国や欧州の政府機関のほか、通信、金融、宿泊、航空宇宙分野の企業が含まれています。
Laundry Bearが悪用したのはCVE-2026-42897で、これはクロスサイトスクリプティング(XSS)の脆弱性です。ユーザーがOutlook Web Access(OWA)アプリで細工されたメールを開くと、ブラウザ上で任意のJavaScriptが実行されてしまいます。
同じハッカー集団は以前にも、別のXSS脆弱性(CVE-2025-66376)をZimbraメールサーバーのゼロデイとして悪用し、メール通信や二要素認証(2FA)コード、アプリケーションパスコード、パスワードを盗み出すマルウェア「ZimReaper」を配布していました。
Proofpointの研究者は、ウェブメールプラットフォーム上でのこの種のXSS攻撃を「ハーフクリック・エクスプロイト」と呼んでいます。ユーザーが悪意あるメールを開くだけで、脆弱性の悪用が引き起こされてしまうためです。
不適切なHTMLサニタイズ
Proofpointは本日公開した最新のレポートで、Laundry Bearによる今回のハーフクリック・エクスプロイトキャンペーンについて、この集団の「手口と能力における大幅な進化」だと説明しています。
Microsoftが5月14日に公開したCVE-2026-42897(OWAの脆弱性)に関する勧告によると、この脅威アクターはすでにゼロデイとしてこれを悪用していたとされています。
この脆弱性は、サーバー側がメッセージ本文のHTMLコードを適切にサニタイズしないことが原因で、メールを開いた際にJavaScriptを実行できてしまう問題です。
Proofpointによると、同社がTA488として追跡しているLaundry Bearは、OWAReaperキャンペーン用の攻撃インフラを3月の時点ですでに構築していました。これはMicrosoftの警告のほぼ2カ月前にあたります。
直近確認された活動では、脅威アクターはサプライチェーン分析や調査アップデート、観光・ガス市場の業績指標といった、標的の関心を引きそうな話題のメッセージを使用していました。
「件名や誘い文句はありふれた内容で、これはおそらく標的となったユーザーがメッセージを開いてざっと目を通した上で、疑わしいURLや添付ファイルが存在しないこともあって、迷惑メールとして報告せずに読み流してしまうことを狙ったものです」
Proofpointの説明によれば、攻撃者は不適切なサニタイズの問題を悪用し、悪意あるメッセージにHTMLとJavaScriptを埋め込んでいます。
メールには、ソーシャルメディアアイコンのURLの「#」記号以降の部分に、JavaScriptローダーとBase64エンコードされたペイロードのかたまりが埋め込まれていました。
このエクスプロイトは、研究者が「OWAReaper」と呼ぶバックドアを送り込みます。これは研究者らがこれまで確認したハーフクリック・エクスプロイト経由で配布されたバックドアの中でも「最も高度なもの」だとされています。
分析の結果、「巧妙な永続化メカニズムの一式」が明らかになり、Zimbraメールサーバーへの攻撃で確認されたZimReaperマルウェアの進化形であることも判明しました。
Proofpointは次のように述べています。「OWAReaperはOutlook Web Access(OWA)の閲覧ペイン内で完全に実行されます。実行されると、Outlook APIを使ってExchangeサーバー上のメールを書き換え、エクスプロイトのコンテンツを削除します。同時に、動作中はOWAのポップアップと右クリック機能を無効化します」
このマルウェアは、侵害されたアカウントのメールアドレス、ユーザー名、Outlookの設定情報を収集します。また、ドキュメントオブジェクトモデル(DOM)内に不可視の要素を作成し、ブラウザが自動入力するのを待つことで、アクセス認証情報の窃取も試みます。
長期にわたる永続化メカニズム
Proofpointの研究者は、TA488(Laundry Bear、Void Blizzard)が、標的のシステムがクリーンなイメージから復元された場合や認証情報がローテーションされた場合でも、メールボックスへのアクセスを維持できることを発見しました。
この脅威アクターはOWAReaperを通じてこれを実現しています。このマルウェアは、ReadWriteMailbox権限を持つインストール済みのOutlookアドインを探し出し、それを使ってGetClientAccessTokenオペレーションのリクエストを通じてOAuthトークンを盗み出します。
研究者らは次のように説明しています。「その後、UpdateFolderを呼び出して、あらゆるメールフォルダーに対して『Default』ユーザー(すべてのMicrosoft Exchangeテナントに存在する権限の低いプリセットエイリアス)に自身をオーナー権限として付与します」
これにより、攻撃者は組織内の認証済みアカウントであれば、どのアカウントからでもメールボックスにアクセスできるようになります。
メールボックスの権限設定はサーバー側で行われるため、侵害されたユーザーの認証情報を変更したり、影響を受けたシステムを再インストールしたりしても、攻撃者のアクセス権は取り消されません。
OWAReaperは、キャッシュを有効化し、OWAのオフラインIndexedDBに保存されているメッセージのHTML内に悪意あるiframeを注入することで、2つ目の永続化メカニズムを実装しています。
研究者らは「このiframeは、被害者がキャッシュから汚染されたメールを開くたびに実行されます」と述べています。
何もかもが二重構成
このマルウェアは、攻撃者からの指示を受け取るために2つの指令・制御(C2)メカニズムに対応しています。そのうちの1つは、GitHubのコミットメッセージを通信チャネルとして利用するものです。
マルウェアは24時間ごとに、GitHubのCommit Search APIに対して、特定の形式に一致し標的のメールアドレスを含む暗号化されたメッセージがないかを問い合わせます。
OWAReaperは、標的のメールボックスに届いたメールを解析することも可能です。IndexedDB内を確認し、{target_email_address}{space}{Base64text}という構造のメッセージ本文を探します。
Laundry Bearはデータ窃取にも2つの手法を使い分けています。主な手法は、AES-CTRで暗号化されたURIパスを用いたHTTPSで、特定の画像用コンテンツ配信ネットワーク(CDN)のドメインを経由してプロキシされる仕組みです。
主たる手法が失敗した場合、データは攻撃者のサーバーに直接送信されます。このサーバーは、外向きのネットワークセッションを初期化する関数内で定義されています。
さらに、DNSを使ったデータ窃取のフォールバック手段も用意されており、データを暗号化した上でBase32方式によりパケット内にエンコードします。
Proofpointは、ZimReaperの活動との行動面での類似性、およびスパイ活動を目的としてウェブメール閲覧者を狙うハーフクリックXSSエクスプロイトの使用状況をもとに、OWAReaperキャンペーンを脅威アクターTA488によるものと断定しました。
研究者らは、使用されたドメインや、CVE-2026-42897のエクスプロイトおよびOWAReaperのペイロードを含むHTMLメッセージ本文など、少数の侵害指標(IoC)を公開しています。
攻撃者より先にあらゆる層をテストする
セキュリティチームが記録できている攻撃の成功例は54%にとどまり、アラートが発せられるのはわずか14%です。残りは環境内を気づかれないまま通り抜けています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を紹介しています。
