Proofpoint Blog 第59回ロシア系攻撃グループTA488、ハーフクリックエクスプロイトでZimbraを侵害

主な調査結果

プルーフポイントは、ロシアと連携する脅威アクターTA488（Void Blizzard、Laundry Bear）が、2025年中少なくとも5か月間にわたり、Zimbraメールサーバーに対する当時未公表の脆弱性を悪用していたことを確認しました。この問題は、その後CVE-2025-66376として修正されました。
エクスプロイトに成功した後、TA488は対象システムへの永続的なアクセスを確立し、標的ユーザーのメールを窃取していました。
これらのキャンペーンは、ウクライナ政府機関に加え、米国の政府機関、高度科学分野、防衛産業基盤を標的としていました。
TA488は、プルーフポイントが追跡している複数のロシア系脅威グループの一つであり、メールサーバーを標的とするためにハーフクリックエクスプロイトを使用しています。この手法は非常に秘匿性が高く、ユーザーがメールを開くだけでエクスプロイトコードが実行されます。

概要

　過去3年間にわたり、脅威インテリジェンスコミュニティは、ロシアおよびベラルーシの脅威アクターがクロスサイトスクリプティング（XSS）の脆弱性を悪用し、Webメールアプライアンスを標的としたサイバースパイ活動を報告してきました。TA422（Sofacy、Forest Blizzard、Fancy Bear、APT28）、TA473（Winter Vivern）、TA445（Ghostwriter、UNC1151）などのアクターや、その他さまざまなクラスターについては、この種の脆弱性を悪用してWebメールサーバーから情報を窃取していたことが、ESET、CERT-UA、Recorded Future、StrikeReady、およびCERT-PLによって報告されています。Webメールプラットフォームに対するこの種のXSS攻撃はハーフクリックエクスプロイトに分類され、ユーザーがメールを開くだけでエクスプロイトが発動するため、追加のソーシャルエンジニアリングは必要ありません。

　2025年9月、プルーフポイントはこの種の脅威に属する新たなアクターを観測し、その活動の起源を追跡しました。少なくとも2025年7月以降、TA488（旧称 UNK_PitStop）は、Zimbra Collaboration Suiteメールサーバーに対するエクスプロイトを使用し、ウクライナの組織（Seqriteでも報告されています）に加え、米国の原子力施設および防衛産業基盤を標的としていました。TA488はロシアと連携する脅威アクターであり、ロシアの情報機関の指揮下にある可能性が高いと考えられます。TA488はZimbra環境に対するハーフクリックエクスプロイトを利用して、標的ユーザーのメールや認証情報を窃取し、さらにZimbraサーバーへの永続的なアクセスを確立していました。

配信とエクスプロイト

　TA488は、攻撃者が管理するProton Mailアカウントと、過去に侵害したメールアドレスの両方を利用して、政府機関および教育機関を標的としたCVE-2025-66376を悪用するメールを送信していました。これらのメールは一般的な誘導内容を用いており、標的ユーザーがリンクをクリックしたり添付ファイルを開いたりする必要はありません。XSSエクスプロイトはメッセージのHTML本文に直接埋め込まれており、脆弱なZimbra Webmailクライアントで被害者がメールを開く、またはプレビューした時点で即座に実行されます。それ以上のユーザー操作は必要ありません。

　このメールをZimbra Webmailで開くと、ユーザーが使用しているブラウザーに関係なく、脆弱なZimbra Webmailクライアントがメッセージ内のHTMLを不適切に処理し、任意のJavaScriptを実行します。これらのメッセージはCVE-2025-66376を悪用しており、この脆弱性では@import呼び出しの間にある要素が適切にサニタイズされません。

　この脆弱性は、Zimbraのクライアント側HTMLサニタイザーに存在します。この攻撃では、TA488は悪意のある<svg onload=…>タグをdisplay:noneのdiv内に隠し、偽のCSS @importディレクティブとHTMLコメントで分割する「タグ分割（tag-splitting）」と呼ばれる手法を用いています。これにより、サニタイザーはこれを実行可能なマークアップとして認識できませんが、ブラウザーは<svg onload="eval(atob('…'))">として正しく再構築し、実行してしまいます。

　このエクスプロイトでは、以下の例のようなコード断片が使用されています。

コード断片	再構築後のコード
scr@import … ;ipt	script
onlo@import … ;ad=ev@import … ;al	onload=eval
at@import … ;ob	atob()

　サニタイザー／リライターは@importシーケンスを削除または変更するため、残った文字列が結合され、<svg onload=eval(atob(...))>という有効な構文になります。

　これにより、脅威アクターは次のような文字列を作成できます。

</scr@import FHBCuUYUGEQODuCrzISjiZsOR;ipt>WqRodzBMC</style><s@import;vg/KttsYfUnHEmwoXouXy/onlo@import zZhGLNPLxJ;ad=ev@import acXApYgYEaXwpIprFa;al(at@import poxscPRqHcoGoodXaFvoY;ob(

　Webmailクライアントは、この文字列を<svg/onload=eval(atob(として解釈し、その後に続くエンコード済みJavaScriptを実行します。

　少なくとも2025年10月以降、TA488は最終ペイロードを基本的なXORループでラップするようになりました。これは、セキュアメールゲートウェイの検知メカニズムを回避する能力を高めることが目的だったと考えられます。埋め込まれたペイロードは、ブラウザーページ内にIDがzmb_pl_v3_のscript要素が既に存在するかどうかを確認し（同じコードが二重に実行されることを防ぐため）、存在しない場合はzmb_pl_v3_というIDでスクリプトをブラウザーページへ挿入します。その後、キャンペーンごとに変更される10文字のキーを使用して、第2のデータブロブをXOR復号します。

　ブラウザーページのコンテキスト内で実行されるこのスクリプトは、認証済みWebメールセッション内で利用可能なすべてのデータへアクセスできるようになります。また、このスクリプトは標的ブラウザーのJavaScriptエンジン内で実行されるため、多くのEDRやアンチウイルス製品では明確なフォレンジックの痕跡が残らず、解析を困難にします。

　JavaScriptのID命名規則（zmb_pl_v3_）からは、プルーフポイントがまだ観測していない、より古いバージョンのマルウェアが存在することが示唆されます。プルーフポイントでは、このマルウェアファミリーを「ZimReaper」として追跡しています。

ZimReaper

　このJavaScriptは、まずC&Cサーバーへ通信してエクスプロイトが成功したことを記録し、その後、ブラウザーからログイン中ユーザーのCross-Site Request Forgery（CSRF）トークンとオートコンプリート（自動入力）パスワードを窃取します。続いて、ZimReaperはZimbra APIを使用して対象デバイスの偵察を行い、二要素認証（2FA）のコードを収集します。これらの情報は、被害者のメールアドレスやZimbra環境に関する情報とともに、攻撃者のC&CへのDNSクエリを介して外部へ送信されます。

　ZimReaperはさらに、CreateAppSpecificPasswordRequestを使用して、「ZimbraWeb」という名前のアプリケーション専用パスワードを作成し、メールサーバーへの永続的なアクセスを確立します。このパスワードを利用すると、二要素認証を必要とせずにIMAP、POP3、SMTP経由でアクセスできるため、攻撃者は侵害したアカウントからフィッシングメールを送信したり、メールサーバーからメールを手動で窃取したりできます。Zimbraによって生成されたこのパスワードも、DNSクエリを介して外部へ送信されます。

　DNSによる情報送信のスキーマでは、最初に一意の識別子が付与され、その後にトークン種別が平文で付加され、続いてトークンデータがBase32でエンコードされます。メインドメインはCloudflareのネームサーバーを使用していますが、それ以外のサブドメインはルートドメイン（Apexドメイン）をネームサーバーとして使用しているため、DNSルックアップを攻撃者が直接観測できます。

　攻撃者は、DNSを利用した情報送信において以下のキーを使用しています。

キー	種類
2fa	標的ユーザーの2FAスクラッチコード
c	Zimbraのバージョン
e	標的ユーザーのメールアドレス
pa	「ZimbraWeb」アプリケーション専用パスワード
pw	標的ユーザーの自動入力パスワード
url	ZimbraサーバーのURL

　その後、このマルウェアは、あらゆる2文字の組み合わせでクエリを実行しながらGlobal Address List（GAL）を走査し、サーバーディレクトリ内に登録されているすべての連絡先を取得しようとします。

　最後に、このJavaScriptは標的ユーザーがアクセス可能な過去90日分のメールを順番に処理し、Zimbraのエクスポート機能を利用して、それらのメールをTGZファイルとしてHTTP POSTリクエスト経由で前述のC&Cへ送信します。

　侵害に成功した後、TA488はメールサーバーへのアクセスを利用して、追加の標的に対してエクスプロイトを含むメールを送信していました。侵害された正規の送信元アカウントを使用することで、新たな標的に対するスピアフィッシングメールの信頼性をさらに高めています。

　現時点では、侵害されたメールサーバーへのアクセスに「ZimbraWeb」のアプリケーション専用認証情報が利用されているのか、それともTA488が窃取した認証情報を使用しているのかは明らかになっていません。

インフラストラクチャ

　TA488は、Zimbraのテレメトリーサービスを装うドメインを作成し、管理者やセキュリティアナリストに対して、観測された外向き通信がZimbraサーバーのパフォーマンスに関連する正当な通信であると信じ込ませようとしていました。これらのドメインは約1年にわたって継続的に作成され、TA488のキャンペーンで使用されました。一方で、古いサーバーも後続の攻撃キャンペーン中にオンラインのまま維持されており、攻撃者が既存の感染状況を監視するために利用していたと考えられます。2025年10月にドメインの展開が一時的に途切れているのは、攻撃者がZimReaperの外側のレイヤーにXOR難読化を追加した時期と一致しています。

　TA488のインフラ構築では、ドメイン登録にはさまざまなレジストラを利用している一方で、Cloudflareのネームサーバーを一貫して使用する傾向が確認されました。これらのドメインは、Zimbraやメール分析サービスを装う名称を使用しており、nginxを実行するサーバー上でホストされています。サーバーでは、SSH用の22番ポート、DNS用の53番ポート、HTTP用の443番ポートの3つが開放されています。使用されたすべてのドメインでは、DNSトンネリングを実現するために「i.」サブドメインの作成が必要となっており、この構成はTLS証明書にも反映されています。

アトリビューション（攻撃者の特定）

　プルーフポイントは、TA488がVoid Blizzard（Laundry Bear）と状況証拠上の類似点を持つことを確認しています。具体的には、匿名性の高いメールサービスを利用してドメインを登録する傾向、Cloudflare上にインフラを構築する傾向、NATO加盟国やウクライナ政府、防衛産業基盤を持つ組織を一貫して標的としていること、さらに活動目的の一環としてメール情報の収集に重点を置いていることなどが挙げられます。

　プルーフポイントは、自社のテレメトリーのみからはTA488の活動をVoid Blizzardに高い確度で帰属させることはできませんでした。しかし、米国政府機関との連携により、この関連性が確認されています。また、米国の連邦起訴状では、TA488はロシアの情報機関のために活動する民間請負業者であることが示されています。

　ロシア参謀本部情報総局（GRU）に属する他の脅威アクターであるTA422（APT28、Forest Blizzard、Sofacy、Fancy Bear）、TA458（RoundPress）、およびTA426（Zebrocy、UAC-0063）と同様に、TA488もウクライナ政府機関に加え、米国および欧州のエネルギー、科学、外交関連組織、防衛関連企業を一貫して標的としています。これらの標的のメールボックス認証情報を収集し、メールを窃取するという戦術は、TA488だけでなく、これまで帰属が確認されているTA458やTA422にも共通して見られる特徴です。

エクスプロイトと任務分担について

　プルーフポイントは、TA458がCVE-2025-66376を使用していることは確認していません。これは、同グループがWebメール向けXSSゼロデイ脆弱性へ継続的にアクセスできる状況にあるにもかかわらずです。確認された事実ではありませんが、このエクスプロイトはロシア情報機関の上位組織からTA488に提供され、TA458の活動とは重複しないよう調整されたうえで運用されていた可能性があります。

　また、単一のエクスプロイトへのアクセスが限定されていたことは、TA488がエクスプロイトのトリガーを難読化する手法や、埋め込まれたペイロードの難読化を継続的に更新していた理由を説明できる可能性があります。さらに、SeqriteがTA488によるZimbra Collaboration Suiteメールサーバー向けエクスプロイトの利用を公表したブログの後に、同グループが数か月前から運用していたインフラを破棄した理由についても、この作戦や攻撃能力を保護しようとしていたためであるという見方ができます。

　さらに分析に基づく仮説として、大規模言語モデル（LLM）が広く普及している現在においても、TA488はこのエクスプロイトを自ら開発したのではなく、作戦能力を強化する目的で提供された可能性があります。この可能性を踏まえると、TA488は今後もZimbraサーバーを標的とし続けるために、Zimbraのパッチを回避する手法の開発にLLMを活用している可能性も考えられます。

まとめ

　プルーフポイントは、Seqriteによるブログ公開とTA488自身によるインフラの撤去以降、2026年2月以降のTA488の活動を確認していません。今後、TA488は認証情報やメールを窃取するための別の手法を模索する可能性があります。確認された事実ではありませんが、短期的にはLLMを活用してWebメールプロバイダーに存在する類似の脆弱性を発見しようとする可能性もあります。同グループは今後も、自らの攻撃能力と投資を保護するため、活動内容が公表されることに対して引き続き高い警戒心を持ち、敏感に対応すると考えられます。

検知と対策

　Zimbraをご利用で標的となった可能性がある場合は、/opt/zimbra/log/audit.logを確認し、CreateAppSpecificPasswordの呼び出しが記録されていないかを確認することを推奨します。また、「ZimbraWeb」や類似の名前で作成されたアプリケーション専用パスワードが存在する場合は、速やかに無効化するなどの対策を実施してください。