概要

ロシア系ハッカー集団「Laundry Bear」(別名Void Blizzard、TA488)が、Microsoft ExchangeのOutlook Web Access(OWA)に存在するクロスサイトスクリプティング脆弱性「CVE-2026-42897」(CVSS 8.1)を悪用し、米欧の政府機関や通信・金融・航空宇宙・ホスピタリティ業界などを標的にした攻撃キャンペーンを展開していたことが、Proofpointの調査で明らかになった。2026年7月22日に大規模な攻撃波が観測されており、被害組織はパスワードを変更してもメールボックスへの不正アクセスを許し続けていたという。攻撃はメールを開くだけでトリガーされる「ハーフクリック」型で、疑わしいURLや添付ファイルを含まないため、被害者が気づかずスパムとして削除してしまう設計になっている点も特徴だ。

脆弱性と感染の仕組み

CVE-2026-42897は、OWAがメッセージ本文のHTMLを適切にサニタイズしないことに起因するXSS脆弱性である。攻撃者はメール本文のソーシャルメディアアイコンなどのマークアップ内に悪意あるペイロードを隠し、ブラウザが「#」記号以降の解析を打ち切る挙動を利用して検出を回避する。ユーザーがメールを開いた瞬間、隠されたonload=イベントハンドラがJavaScriptローダーを起動し、本文中に埋め込まれたBase64フラグメントを組み立てて実行する仕組みだ。

OWAReaperバックドアの機能

展開されるマルウェア「OWAReaper」は、ブラウザベースの高度なバックドアである。感染後は元のメールを書き換えて痕跡となるエクスプロイトコードを削除し、動作中はポップアップや右クリックを無効化して発覚を防ぐ。ユーザー名やメールアドレス、Outlookの設定情報を収集するほか、ReadWriteMailboxパーミッションを持つOutlookアドインを悪用してOAuthトークンを窃取し、権限を昇格させる。

最大の脅威は、その持続化の仕組みにある。OWAReaperはOutlook APIを利用してメールボックスのフォルダに攻撃者へ所有者レベルの権限を付与し、暗号化されたコピーをブラウザストレージやオフラインメッセージキャッシュ内の隠しiframeに保存する。この永続的なアクセスはサーバー側に存在するため、パスワードのローテーションはもちろん、端末をクリーンイメージから再構築してもアクセスは排除されない。除去にはExchangeサーバーからの意図的な削除作業が不可欠だとProofpointは警告している。

C&C通信にはGitHubのコミットメッセージを利用した暗号化された指令伝達に加え、メールボックス内のメッセージから直接指令を解析する経路も備える。データ流出はHTTPS経由のAES-CTR暗号化通信を基本としつつ、通信が遮断された場合に備えたDNSトンネリングのフォールバック機構も持つなど、検知回避と冗長性を重視した設計になっている。

Laundry Bearグループとタイムライン

Laundry Bear(TA488)は、Void Blizzardという別名でも知られるロシア系のサイバースパイ活動グループで、以前から米欧の政府機関や民間組織を標的にしてきた。2025年7月にはZimbraメールサーバーの別のXSS脆弱性(CVE-2025-66376)を悪用し、同様の手口で「ZimReaper」というマルウェアを配信していたことが確認されており、Proofpointは攻撃の行動パターンからOWAReaperを展開したグループと同一と特定した。

攻撃インフラは2026年3月に構築されたとみられており、Microsoftが脆弱性の勧告を公開したのは5月14日、恒久的な修正パッチのリリースは6月であった。研究者らは、インフラ構築がMicrosoftの対応より2カ月以上先行していることから、TA488が本脆弱性をゼロデイとして悪用していた可能性が高いと指摘している。

対応策

Proofpointは、影響を受けた可能性のある組織に対し、CVE-2026-42897へのパッチ適用に加え、エンドポイント・メールサーバー・トークン失効を含む多段階のクリーンアップ手順を実施するよう推奨している。サーバー側に居座る性質上、通常のインシデント対応手順だけでは駆逐しきれない恐れがあるため、侵害指標(IoC)による検査と監査を通じた徹底した確認が求められる。