ロシア系TA488がZimbraの未公開脆弱性を5か月悪用 — 開封だけで発火するハーフクリックで政府・防衛基盤を標的

Proofpointは2026年7月23日、ロシアと連携する脅威アクターTA488（別名 Void Blizzard、Laundry Bear）が、Zimbra Collaboration Suiteの未公開脆弱性CVE-2025-66376を2025年7月から少なくとも5か月間にわたり悪用していたと公表した。Proofpointは本報告をNSAとFBIの共同勧告（JSAC）と連携して公開し、シリーズの第1弾として位置づけている。標的はウクライナの政府機関と、米国の政府・高度な科学研究・防衛産業基盤（DIB）だった。

TA488はProofpointが追跡する複数のロシア系グループのうちの一つで、同社によるとロシアの情報機関の指示を受けて活動している可能性が高いとされる。Proofpointは今回の手口を「ハーフクリック」型の悪用と説明している。利用者がメールを開くかプレビューするだけで悪性コードが実行され、リンクのクリックや添付ファイルの開封といった追加操作を必要としない。

開封だけで発火するハーフクリック — @importでサニタイザを欺く

攻撃は、侵害済みアカウントや攻撃者が用意したProton Mailアカウントから送られたHTMLメールが起点となる。件名は「Cooperation Belgian Foundation」など一般的な勧誘を装い、本文のHTMLにXSSペイロードが直接埋め込まれている。脆弱なZimbra WebmailクライアントはこのHTMLをサニタイズしきれず、ブラウザ上で任意のJavaScriptを実行してしまう。

脆弱性CVE-2025-66376は、Zimbraのクライアント側HTMLサニタイザが@importの間の要素を適切に無害化できない点にある。TA488はdisplay:noneのdivの中に悪性の<svg onload=…>を隠し、@import疑似ディレクティブとHTMLコメントでタグを細切れにする「タグ分割」でサニタイザの検出をすり抜ける。サニタイザが@import部分を除去・改変した後に残った断片がブラウザ側で再結合され、<svg onload="eval(atob('…'))">として実行される。

Proofpointが示した例では、scr@import … ;iptがscriptに、onlo@import … ;ad=ev…がonload=evalに再構成される。2025年10月以降のキャンペーンでは、最終ペイロードを10文字の鍵でXOR暗号化する層が追加され、メールゲートウェイでの検出回避が図られていたという。

ZimReaper — CSRFとパスワード、2FAをDNSで窃取

ProofpointはこのJavaScriptマルウェアをZimReaperと命名した。ZimReaperはブラウザ上で動作し、まずIDzmb_pl_v3_のスクリプト要素が既に存在しないかを確認して二重実行を避け、C&Cへのビーコンで感染成功を記録する。命名規則から、同社は未観測の過去バージョンが存在するとみている。

ZimReaperは、ログイン中のWebメールセッションが持つCSRFトークンや、ブラウザの自動補完に保存されたパスワードを窃取する。さらにZimbra APIを使って端末の reconnaissance と二要素認証（2FA）のスクラッチコード収集を行い、標的のメールアドレスやZimbraのバージョン情報とともにDNSクエリでC&Cへ持ち出す。

DNS窃取では、識別子に続けてpw（自動補完パスワード）、pa（アプリ用パスワード）、2fa（2FAコード）、e（メールアドレス）、c（バージョン）、url（サーバURL）といった鍵を平文で付与し、値をBase32でエンコードして送る。主要ドメインはCloudflareのネームサーバを使う一方、一部サブドメインはapexドメイン自身をネームサーバにして直接観測できるようにしていた。

持続化では、CreateAppSpecificPasswordRequestを使って表示名「ZimbraWeb」のアプリ用パスワードを作成する。このパスワードは2FAを迂回してIMAP、POP3、SMTPでのアクセスを可能にし、攻撃者は侵害したアカウントから新たな標的へハーフクリック付きメールを送ったり、手作業でメールを窃取したりできる。Zimbraが生成したパスワード自体もDNSで窃取される。

ZimReaperは最後に、Global Address Listを2文字の組み合わせで総当たりして連絡先を収集し、直近90日分のメールをZimbraのエクスポート機能でTGZにまとめてHTTP POSTでC&Cへ送る。侵害後は、侵害したアカウントを踏み台に次の標的へ連鎖的にメールを送る動きも確認された。

インフラと対策 — Zimbraテレメトリを偽装、修正済み

TA488はZimbraのテレメトリを偽装するドメインを1年以上にわたり定期的に作成し、C&Cに使っていた。管理者やアナリストが外部通信を正当な性能計測と誤認するよう狙ったものだ。2025年10月にドメイン作成が途切れた時期は、ZimReaper外層へのXOR難読化追加と一致しており、運用の切り替えを示している。

Zimbraの脆弱性CVE-2025-66376は修正済みである。ProofpointはNSA・FBIと連携して本件を公表しており、Zimbra Collaboration Suiteを利用する組織では、Proofpointが示した侵害指標（IoC）とDNS窃取パターンに基づくログ点検、アプリ用パスワード「ZimbraWeb」の有無の確認、修正版への更新を推奨している。Proofpoint自身は、追加のインフラ情報や検出ロジックをレポートで公開している。Zimbra管理者は、ベンダーが提供する修正版の適用状況を改めて確認することが重要だ。

---

出典: Proofpoint, “TA488 Targets Zimbra Mailservers with Half-Click Exploits” (Threat Insight), 23 July 2026. https://www.proofpoint.com/us/blog/threat-insight/ta488-targets-zimbra-mailservers-half-click-exploits / NSA/FBI, “Russian Espionage Actors Exploiting Zimbra Vulnerability (CVE-2025-66376) to Target Government and Defense Entities” (Joint Cybersecurity Advisory), 22 July 2026. https://media.defense.gov/2026/Jul/22/2003965244/-1/-1/1/CSA_RUSSIA_PHISHING_TARGET_ZIMBRA.PDF