ロシア系TA488がZimbraのゼロデイを5か月悪用 — メールを開くだけで発火する「ハーフクリック」と窃取型マルウェアZimReaperをProofpointが分析

Proofpointの脅威リサーチチームは2026年7月23日、ロシアと連携する脅威アクターTA488が、2025年に少なくとも5か月間にわたりZimbra Collaboration Suiteの未公表脆弱性を悪用し、政府機関のメールを窃取していたと報告した。この脆弱性は後にCVE-2025-66376として修正された。Proofpointは本報告を、NSAおよびFBIのJSACによるTA488／Void Blizzardに関する報告と連携して公開している。

TA488はProofpointが旧称UNK_PitStopとして追跡していたグループで、Void Blizzard（Laundry Bear）との関連が確認されている。標的はウクライナ政府機関に加え、米国の政府機関、高度科学分野、防衛産業基盤で、米国の原子力施設も含まれていた。Proofpointによると、TA488はロシアの情報機関の指揮下にある可能性が高く、米国の連邦起訴状ではロシア情報機関のために活動する民間請負業者だと示されている。

メールを開くだけで発火する「ハーフクリック」 — タグ分割でサニタイザーを回避

TA488の侵入手法は、Proofpointが「ハーフクリックエクスプロイト」と呼ぶ保存型クロスサイトスクリプティング（XSS）だ。攻撃メールは一般的な誘導文面で、受信者がリンクをクリックしたり添付ファイルを開いたりする必要はない。脆弱なZimbra Webmailクライアントでメールを開くかプレビューした時点で、メッセージのHTML本文に埋め込まれたコードが実行される。ブラウザーの種類を問わず発火する。

技術的な核心は、Zimbraのクライアント側HTMLサニタイザーに存在したCVE-2025-66376にある。サニタイザーはCSSの@import呼び出しの間に挟まれた要素を適切に処理できなかった。TA488は悪意ある<svg onload=...>タグをdisplay:noneのdiv内に隠し、偽の@import指示とHTMLコメントで細切れにする「タグ分割（tag-splitting）」でサニタイザーの目を逃れた。サニタイザーが@import部分を除去・改変すると、残りの文字列が結合されてブラウザー上では有効な<svg onload=eval(atob(...))>として再構成され、実行されてしまう。

Proofpointの観測では、TA488は2025年9月にこの活動を開始し、少なくとも2025年7月までさかのぼってエクスプロイトを運用していた。2025年10月以降は、セキュアメールゲートウェイの検知を逃れるため、最終ペイロードをXORループで包む難読化を追加した。攻撃メールは攻撃者管理のProton Mailアカウントや、過去に侵害した正規のメールアドレスから政府機関・教育機関へ送られていた。

窃取型マルウェア「ZimReaper」 — DNSで認証情報とメールを外部送信

侵入後に動作するJavaScriptペイロードを、Proofpointはマルウェアファミリー「ZimReaper」として追跡している。ZimReaperはまずC&Cサーバーへ侵入成功を通知し、ブラウザーからログイン中ユーザーのCSRFトークンと自動入力（オートコンプリート）に保存されたパスワードを窃取する。続いてZimbra APIでデバイス偵察を行い、二要素認証（2FA）のスクラッチコードを収集する。

ZimReaperの特徴的な動きは、認証情報をDNSクエリに紛れ込ませて外部へ送る点だ。2FAコード、Zimbraのバージョン、メールアドレス、自動入力パスワード、ZimbraサーバーのURLといった種別ごとにキーを付け、データをBase32で符号化して送る。メインドメインはCloudflareのネームサーバーを使い、サブドメイン側を攻撃者が直接観測できる構成にしていた。

さらにZimReaperはCreateAppSpecificPasswordRequestを使い、「ZimbraWeb」という名前のアプリケーション専用パスワードを作成する。このパスワードでは二要素認証なしにIMAP・POP3・SMTP経由でメールサーバーへ接続できるため、攻撃者は永続的なアクセスを確保し、侵害アカウントから次の標的へのフィッシング送信や手動でのメール窃取が可能になる。最後にGlobal Address List（GAL）を走査して連絡先を列挙し、標的ユーザーがアクセス可能な過去90日分のメールをTGZ形式でC&CへHTTP POST送信する。侵害後は奪った正規アカウントから次の標的へ攻撃メールが送られ、信頼性を高める連鎖が起きていた。

インフラ面では、TA488はZimbraのテレメトリー（利用状況の収集機能）を装うドメインを約1年にわたり継続的に作成し、管理者や分析者が外部通信を正規のものと誤認するよう仕向けていた。ドメイン登録には複数のレジストラを使い分けつつ、ネームサーバーは一貫してCloudflareを利用し、nginx稼働のサーバーでSSH（22番）・DNS（53番）・HTTPS（443番）の3ポートを開放していた。

帰属と現状 — 2026年2月以降の活動は未確認、監査ログの確認を推奨

Proofpointは自社のテレメトリーだけではTA488をVoid Blizzardに高い確度で帰属できなかったが、米国政府機関との連携で関連性が確認されたとしている。匿名性の高いメールサービスでのドメイン登録、Cloudflare上のインフラ構築、NATO加盟国・ウクライナ政府・防衛産業基盤の一貫した標的化、メール収集への注力といった状況証拠が一致した。GRU系とされるTA422（APT28）やTA458、TA426と同様の標的選定とメール窃取の戦術も共通する。

興味深い点として、Proofpointは同じくWebメール向けXSSゼロデイを継続的に保有するTA458がCVE-2025-66376を使った形跡を確認していない。エクスプロイトがロシア情報機関の上位組織からTA488へ提供され、グループ間で重複しないよう調整されていた可能性や、Seqriteによる公開後にTA488が数か月運用のインフラを破棄した動きは作戦能力の保護だった可能性を、仮説として示している。

Seqriteによる公開とTA488自身のインフラ撤去以降、Proofpointは2026年2月以降のTA488の活動を確認していない。今後は別の窃取手法への移行や、大規模言語モデル（LLM）を使った類似脆弱性の探索もあり得るとしている。

Zimbraを利用している組織に向け、Proofpointは/opt/zimbra/log/audit.logを確認し、CreateAppSpecificPasswordの呼び出し記録がないか調べることを推奨している。「ZimbraWeb」や類似の名前で作成されたアプリケーション専用パスワードが存在する場合は、速やかに無効化するなどの対策を取るよう呼びかけている。検知用としてEmerging Threats（ET）ルール2071243〜2071248も公開されている。

出典

• ロシア系攻撃グループTA488、ハーフクリックエクスプロイトでZimbraを侵害 — Proofpoint JP（2026年7月23日）