目に見えない侵入
悪意のあるリンクも不審な添付ファイルも一切含まない、まったくありふれたメール。それだけで、悪名高いハッカー集団TA488は被害者の受信箱への永続的なアクセスを確保するのに十分でした。あとは、疑いを抱かない利用者がOutlookのWebインターフェースでそのメッセージを開くのを、じっと待つだけで済んだのです。
ゼロクリック攻撃キャンペーンの発覚
2026年7月22日、Proofpointのセキュリティアナリストがこの巧妙な新キャンペーンを正式に暴露しました。攻撃者はOutlook Web Access内の深刻な脆弱性CVE-2026-42897（CVSS 9.4、Highレベル）を悪用していました。この重大な欠陥により、メール本文から直接悪意のあるコードを実行することが可能になっていました。このキャンペーンは主に米国および欧州の政府機関を標的としていましたが、それに加えて通信、金融、ホスピタリティ、航空宇宙の各分野の組織も攻撃を受けています。
巧妙な偽装
悪意のあるメールは、天然ガス市場、観光、医療、原子力エネルギー、半導体供給といった、退屈な情報ニュースレターを装っていました。これらの一見無害なメッセージには、不審なリンクも添付ファイルも、行動を促す文言も含まれていませんでした。攻撃者は、受信者がメールをざっと眺めて無関係なスパムとしてすぐに削除するだろうと計算しており、その結果、セキュリティインシデントとして報告されることを完全に回避していました。
実行とOWAReaperインプラント
メッセージが開かれると、脆弱性を抱えたExchangeサーバーが埋め込まれたHTMLコードを不適切に処理し、その結果として密かなJavaScriptの実行が引き起こされました。狡猾な攻撃者は、悪意のあるペイロードの一部をメールのソーシャルメディア用アイコンの書式設定の中に巧妙に隠していました。このコードは断片化されたセグメントを緻密に再構成し、ブラウザウィンドウ内で直接、これまで確認されたことのないOWAReaperインプラントを起動していました。
ステルス性と永続性
重要な点として、OWAReaperはホストコンピューターにファイルを一切インストールせず、Outlook Webインターフェース内で完全に動作していました。プログラムはまず、サーバー上の感染メールを消去し、脆弱性が悪用された痕跡を消し去りました。その後、インプラントはメールアドレス、ユーザー名、Outlookの設定情報を密かに収集しました。さらに、見えない入力フィールドを利用してブラウザに保存された認証情報の抽出も積極的に試みていました。
永続性を確保するため、OWAReaperは自身のコードの暗号化コピーをWeb版Outlookの設定内に密かに保存していました。その結果、利用者が新しいタブを開くたびに、標準の設定復元機能が意図せずこの悪意あるスクリプトを再起動させてしまっていました。このインプラントはさらに、オフラインメールキャッシュにも追加のコピーを戦略的に配置していました。そのため、この執拗な感染は、システムを全面的に再インストールした後でさえも、まんまと復活できる仕組みになっていました。
権限昇格と横展開
この悪意のあるソフトウェアは、インストール済みのOutlookアドインを積極的に調べる一方、OAuthアクセストークンの窃取も執拗に試みていました。続いてOWAReaperは、メールフォルダーの権限を操作し、「Default」ユーザーにオーナーレベルの完全な権限を付与していました。この結果として、同一組織内で以前に侵害されたアカウントであれば、どれでも即座に被害者の受信箱への無制限アクセスを得られる状態になっていました。変更された権限がExchangeサーバー上に恒久的に保存されるため、単純なパスワード変更ではこのバックドアに対してまったく無力でした。
コマンド&コントロールインフラ
攻撃者は2種類の方法を巧みに使い分けてコマンドを送信していました。OWAReaperは1日に1回、GitHubのコミット履歴に隠された特別に細工されたメッセージを念入りに検索するか、あるいは新着メールを監視していました。これにより攻撃者側は、インプラントのコード全体を容易に差し替えたり、コマンドサーバーをシームレスに切り替えたり、任意のコマンドを自在に実行したりすることができました。
データ窃取と攻撃者の特定
窃取された情報は、人気のコンテンツデリバリーネットワークからの無害な画像ダウンロードを装った巧妙なHTTPSリクエストを通じて外部に送信されていました。主経路が機能しない場合、OWAReaperは自動的にDNSクエリ経由での暗号化データ送信に切り替わる仕組みになっていました。ただし、Outlookのセッション情報やインストール済みアドインなど一部のファイルについては、内容を暗号化しないまま攻撃者のサーバーに送信されていました。
Proofpointは、このキャンペーンをTA488によるものだと確信を持って特定しています。TA488はVoid BlizzardやLaundry Bearとしても知られるグループです。この特定は、Webメールを標的とした過去の攻撃、OWAReaperと旧型ツールZimReaperとの著しい類似性、明確な認証情報窃取の手口、そしてDNSベースのデータ窃取技術によって強く裏付けられています。攻撃手法の詳細については、レポートCleaning Out Inboxes: TA488 Comes to Outlook With Another Half-Click Exploitをご覧ください。
緩和策と対応策
Proofpointによると、今回の新キャンペーンのインフラは、CVE-2026-42897に対するMicrosoftの緊急アップデートが公開されるおよそ2カ月前にあたる、早くも2026年3月の時点で積極的に準備が進められていました。セキュリティ専門家たちは、TA488が公式パッチのリリースよりもかなり前からこの脆弱性を悪用していた可能性が高いと強く見ています。
各組織に対しては、不審なExchangeアクセストークンを緊急に監査し、直ちに無効化することが強く推奨されます。さらに、メールフォルダーに付与されたオーナーレベルの「Default」権限を厳格に削除し、ローカルストレージとOutlook Web Accessのオフラインキャッシュの両方を徹底的に消去する必要があります。単なるコンピューターの再インストールやパスワードのリセットだけでは、OWAReaperを完全に根絶するには全く不十分な可能性があります。
翻訳元: https://meterpreter.org/ta488-owareaper-outlook-exploit/
