ロシアと関係があるとされるサイバースパイ集団Laundry Bear(別名Void Blizzard、TA488)が、Microsoft ExchangeのクロスサイトスクリプティングCVE-2026-42897を悪用し、米国および欧州の政府機関や各種民間企業をメール経由で標的にしていることが分かりました。
この警告はProofpointによるもので、同社は悪用コードを隠し持ったメールが受信箱に届いているのを検知しました。
「件名や誘い文句はごくありふれた内容になっています。狙われたユーザーがメッセージを開いて一読はするものの、不審なURLや添付ファイルが存在しないこともあって、迷惑メールと判断してしまい、報告には至らないようにするためだと考えられます」と同社は述べています。
悪用コードを含むメールの件名（出典: Proofpoint)
感染の仕組み
Exchangeのウェブメールインターフェースに影響するこの脆弱性は、メッセージ本文のHTML内に格納されたペイロードの断片から、JavaScriptローダーを「構築」します。
最終的にこのローダーは、Outlook Web Access(OWA、Exchangeのウェブメールインターフェース)のリーディングペイン内で実行されるバックドア「OWAReaper」を送り込みます。
OWAReaperが実行されると、次のような動作を行います。
- サーバー上の元のメールを書き換えて悪用コードを消去し、実行中はポップアップと右クリックを無効化する
- 標的のメールアドレス、ユーザー名、Outlookの設定を収集し、見えないフォームフィールドを通じてログイン認証情報の窃取を試みる
- 暗号化した自身のコピーと復号ラッパーをブラウザのストレージ領域に書き込み、OWAが起動時に自動的にそれを読み込んで実行するようにする。これにより、新しいOWAタブが開かれるたびにOWAがマルウェアを再起動してしまう
- ReadWriteMailbox権限を持つインストール済みのOutlookアドインを探し出し、それを利用してOAuthトークンを盗み出すとともに、すべてのメールフォルダの「Default」ユーザーに対してOwner権限相当のアクセス権を自身に付与する。これにより、同一組織内の認証済みユーザーであれば誰でもメールボックスに完全アクセスできる状態になる
「これが感染チェーンの重要な要素です。TA488が組織内の他のアカウントにアクセスできる場合、同グループは標的のメールボックスへの永続的なアクセスを維持できます」とProofpointは警告しています。
「この永続的なアクセスはサーバー側に存在するため、意図的にExchangeサーバーから除去する必要があります。認証情報のローテーションや、標的となったユーザーのデバイスの完全な再イメージ化を行っても、攻撃者を排除することはできません」。
最後に、OWAのオフラインメッセージキャッシュであるIndexedDBに保存されたメッセージに隠しiframeを追加し、キャッシュを有効化します。これにより、被害者がキャッシュから汚染済みのメールを開いた場合、再イメージ化されたホストであっても再感染してしまいます。
対応方法
OWAReaperは、公開されているGitHubのコミットメッセージから取得するか、攻撃者から送られてくる受信メールを通じて得たコマンドによって制御・実行されます。データの窃取はHTTPS経由またはDNS経由のいずれかで行われます。
Proofpointによれば、OWAReaperはZimReaperペイロードの進化形とのことです。ZimReaperは、同じ脅威アクターがZimbraメールサーバーの（当時)未知の脆弱性を悪用した2025年のキャンペーンで使用されていました。両ペイロードはコードや挙動、エラー処理・報告の仕組みが類似しており、共通点が見られます。
MicrosoftはCVE-2026-42897の悪用について2026年5月に警告を発し、その際は暫定的な緩和策を提供しました。その後、2026年6月に恒久的な修正パッチを提供しています。
「本キャンペーンに関連する最初のインフラは2026年3月に構築されており、これはMicrosoftによるCVE-2026-42897の緊急パッチ提供の2か月前にあたります。この時系列を踏まえると、TA488がこの脆弱性をゼロデイとして利用していた可能性は十分にあります」と研究者らは付け加えています。
すべての組織に対し、CVE-2026-42897へのパッチ適用が推奨されています。また、本キャンペーンで標的にされた疑いがある場合は、侵害の痕跡(IoC)を用いて確認することが望まれます。
侵害が確認された場合は、影響を受けたエンドポイントとメールサーバー自体のクリーニング、そしてトークンの失効を含む複数段階の対応手順に取り組む必要があります。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/cve-2026-42897-microsoft-exchange-email-attack/
