TA488、Microsoft Outlook Web Accessの脆弱性を「ハーフクリック攻撃」で悪用

ロシアと連携する脅威アクター「TA488」が、Microsoft Outlook Web Access(OWA)に存在するクロスサイトスクリプティング(XSS)の脆弱性を悪用する新たなキャンペーンを開始しました。 

このキャンペーンは、研究者が「ハーフクリック」攻撃と呼ぶ手法を用いて組織を侵害する、ますます巧妙化した手口を示しています。 

TA488によるOutlook Web Access攻撃の要点

• TA488はMicrosoft Outlook Web Access(OWA)のCVE-2026-42897を悪用し、ユーザーが細工されたメールを開くだけで悪意あるJavaScriptを実行させる。
• ブラウザベースのインプラント「OWAReaper」はExchangeメールボックスの権限変更を通じて長期的な永続化を確立し、認証情報がローテーションされた後も攻撃者がアクセスを維持できるようにする。
• OWAReaperはGitHubのコミットメッセージ、電子メール、CDN、DNSトンネリングなど複数のコマンド&コントロール(C2)チャネルを使用し、耐障害性を高めつつ検知を困難にする。
• Proofpointは、今回のキャンペーンがTA488の手口における重要な進化を反映しているとみており、Microsoftのセキュリティ更新プログラムが公開される前にこの脆弱性がゼロデイとして悪用されていた可能性を指摘している。
• 組織はOutlook Web Accessへのパッチ適用を最優先とし、Exchange権限とOAuthアクセスの監査、アイデンティティ管理の強化、ブラウザベースの永続化やメールボックス悪用の監視を行う必要がある。

TA488、Microsoft Outlook Web Accessの脆弱性CVE-2026-42897を悪用 

Proofpointによると、このキャンペーンは2026年7月22日に始まりました。これは同社とNSAが共同で、TA488のこれまでの活動について詳述した調査結果を公開する前日にあたります。 

研究者らによると、この脅威アクターは手口を急速に進化させているとみられます。 

このキャンペーンは、OWAにおけるXSSの脆弱性であるCVE-2026-42897を悪用します。この脆弱性はExchangeサーバーが攻撃者の制御下にあるHTMLを不適切に処理してしまうもので、受信者がメールを開くだけで悪意あるJavaScriptが自動的に実行されてしまいます。 

受信者にメールを開かせるため、TA488はサプライチェーン指標、エネルギー市場、観光指標、公衆衛生、半導体サプライチェーンといった日常的な業務トピックを装った、ありふれた件名を使用しています。 

Proofpointによると、こうした平凡な件名は疑念を抱かせないよう意図されたもので、ユーザーが不審なメールとして報告することなく、すぐに目を通してから削除してしまうよう仕向けているといいます。

研究者らはまた、同グループの配信手法が、過去にZimbraを標的とした攻撃キャンペーンで使われていたものと比べ、かなり巧妙になっていることも確認しています。 

OWAReaperマルウェア、Exchangeの永続化機能で認証情報ローテーションを乗り越える 

脆弱性の悪用に成功すると、Proofpointが「OWAReaper」と名付けた、これまで報告されていなかったJavaScriptインプラントが展開されます。 

OWAReaperは従来型のエンドポイントマルウェアをインストールするのではなく、OWAのブラウザセッション内で完全に動作するため、被害者のシステムに実行可能ファイルを残すことなく侵害後の活動を行うことができます。

起動すると、このインプラントはまずメールから脆弱性悪用の痕跡を直ちに消去し、その後にユーザーの環境やOutlookの設定に関する情報を収集します。 

また、ブラウザの自動入力機能を通じて、保存されているOutlookの認証情報を窃取しようとも試みます。

Exchangeの永続化機能により長期的なメールボックスアクセスが可能に 

長期的なアクセスを維持するため、OWAReaperはブラウザの再起動、パスワードのリセット、さらには侵害された端末の完全な再イメージ化を経ても生き残るよう設計された、複数の永続化メカニズムを確立します。

このマルウェアの特に注目すべき能力の一つは、侵害された端末のみに依存するのではなく、Exchangeサーバー側で永続化を確立できる点です。 

互換性のあるOutlookアドインが存在する場合、OWAReaperはOAuthアクセストークンを取得し、選択したメールボックスフォルダに対してExchangeの既定ユーザーに所有者(Owner)権限を付与することで、Exchangeメールボックスの権限を変更できます。 

Proofpointによると、こうしたサーバー側での権限変更により、攻撃者は不正なExchange権限が削除されない限り、認証情報がローテーションされた後もメールボックスへのアクセスを維持できるといいます。 

このインプラントは暗号化されたコンポーネントをOutlookのブラウザストレージにも保存し、キャッシュされたオフラインメールを利用して、悪意あるメッセージが再度開かれた際にユーザーを自動的に再感染させます。  

こうした手法により、このマルウェアはエンドポイント上での可視性を最小限に抑えつつ、複数の復旧シナリオをまたいで存続することができます。

OWAReaper、GitHub経由のC2とDNSトンネリングで検知を回避 

Proofpointはさらに、OWAReaperが運用上の耐障害性を高め、活動が中断されるリスクを減らすために、複数のコマンド&コントロール(C2)チャネルを組み込んでいることも突き止めました。 

このインプラントは、特別に細工されたGitHubのコミットメッセージや、侵害されたメールボックスに直接届く攻撃者制御下のメールから、暗号化された指示を取得することができます。 

また、窃取した情報を持ち出すための複数の手法にも対応しています。

主な通信手法では、既知のコンテンツデリバリーネットワーク(CDN)を経由して暗号化データを送信してから攻撃者管理下のインフラに転送することで、外向きの通信を正規の画像アセットへのリクエストに見せかけます。 

HTTPS通信が利用できなくなった場合、マルウェアは自動的にDNSトンネリングにフォールバックし、窃取したデータを暗号化・断片化した上で、通常のネットワークトラフィックによく似たDNSクエリに埋め込みます。 

Proofpointによると、こうした多層的な通信手法により検知が困難になる一方で、長期にわたる活動においてマルウェアの耐障害性が高まっているといいます。

TA488、標的を政府機関やZimbra以外にも拡大 

Proofpointは、TA488が以前のキャンペーン以降、脆弱性悪用能力とマルウェア開発の両面で大幅に進化を遂げているとみています。 

研究者らはまた、今回の作戦を支えるインフラが2026年3月に構築されていたことも突き止めています。これはMicrosoftがCVE-2026-42897に対する緊急のセキュリティ更新プログラムを公開する約2カ月前にあたります。 

このタイミングから、同グループはこの脆弱性が広く知られる前に、ゼロデイとして悪用していた可能性が浮上しています。

このキャンペーンはまた、TA488がこれまで重点を置いてきたZimbra環境を超えて標的を広げていることも示しています。 

政府機関や防衛関連組織は、依然として同グループの主要な情報収集の標的です。 

しかし同グループは、重要インフラ、国家安全保障、戦略的サプライチェーンを支える複数の民間セクターにも活動範囲を広げています。 

組織がリスクを低減するには

この攻撃はOutlook Web Access上で悪意あるメールを開くだけで実行されてしまうため、組織は従来のフィッシング対策だけでは侵害を防げない可能性があることを前提に対策を講じる必要があります。  

• CVE-2026-42897に対するMicrosoftのセキュリティ更新プログラムを適用し、すべてのOutlook Web Access環境が完全にパッチ適用済みであることを確認する。
• Exchangeメールボックスの権限、Outlookアドイン、OAuthやExchange Web Services(EWS)トークンを監査し、不正アクセスや過剰な権限がないか確認する。
• フィッシング耐性のあるMFAを導入し、条件付きアクセス、最小権限の原則、異常なサインイン活動の継続的な監視によって、アイデンティティのセキュリティを強化する。
• Outlook Web Access環境における不審なブラウザ活動、メールボックスの権限変更、コマンド&コントロール通信に関連する外向き接続を監視する。
• 可能な限りインターネットに公開されたOutlook Web Accessへのアクセスを制限し、信頼できる端末や場所、リスク指標に基づいてアクセスを限定することで、不要な露出を減らす。
• HTMLベースの脆弱性悪用を検知できる高度なメールセキュリティ対策を導入し、メールを開くだけで脆弱性が悪用され得ることをユーザーに周知する。
• メールボックスの侵害、認証情報の窃取、OAuthトークンの悪用、ブラウザベースの永続化といったシナリオを想定し、インシデント対応計画を定期的にテストする。

あらゆる侵害を防ぐことは現実的ではありませんが、永続化を制限し、攻撃者のアクセスを制約し、復旧能力を検証することで、業務への影響を軽減する一助となります。 

結論

今回のキャンペーンは、攻撃者がアプリケーション層の脆弱性とアイデンティティの悪用、サーバー側での永続化を組み合わせることで、初期侵害後もアクセスを維持しようとしている実態を浮き彫りにしています。

セキュリティチームは、初期封じ込め後に攻撃者が再びアクセスを取り戻すことのないよう、Exchangeの権限やOAuthアクセス、その他の永続化メカニズムが完全に除去されていることを検証する必要があります。 

今回のような攻撃は、アクセスを継続的に検証し最小権限を徹底するゼロトラストの原則を適用することの重要性を改めて示しています。