2026年7月23日
Greg Lesnewich, Nick Attfield, Konstantin Klinger, Saher Naumaan, Mark Kelly, and the Proofpoint Threat Research Team
プルーフポイントは、このレポートをNSAおよびFBIのJSACによるTA488/Void Blizzardに関するレポートと連携して公開します。同レポートはこちらからご覧いただけます。本記事は、ロシアのスパイ活動グループが政府機関のWebメールサーバーを標的としてハーフクリックエクスプロイトを利用している事例について、プルーフポイントが公開する全2回のブログシリーズの第1回です。TA458に関する第2回の記事はこちらからご覧いただけます。
Threat Researchは、プルーフポイント Cloudmark Authorityチームに感謝いたします。
主な調査結果
プルーフポイントは、ロシアと連携する脅威アクターTA488（Void Blizzard、Laundry Bear）が、2025年中少なくとも5か月間にわたり、Zimbraメールサーバーに対する当時未公表の脆弱性を悪用していたことを確認しました。この問題は、その後CVE-2025-66376として修正されました。
エクスプロイトに成功した後、TA488は対象システムへの永続的なアクセスを確立し、標的ユーザーのメールを窃取していました。
これらのキャンペーンは、ウクライナ政府機関に加え、米国の政府機関、高度科学分野、防衛産業基盤を標的としていました。
TA488は、プルーフポイントが追跡している複数のロシア系脅威グループの一つであり、メールサーバーを標的とするためにハーフクリックエクスプロイトを使用しています。この手法は非常に秘匿性が高く、ユーザーがメールを開くだけでエクスプロイトコードが実行されます。
概要
過去3年間にわたり、脅威インテリジェンスコミュニティは、ロシアおよびベラルーシの脅威アクターがクロスサイトスクリプティング（XSS）の脆弱性を悪用し、Webメールアプライアンスを標的としたサイバースパイ活動を報告してきました。TA422（Sofacy、Forest Blizzard、Fancy Bear、APT28）、TA473（Winter Vivern）、TA445（Ghostwriter、UNC1151）などのアクターや、その他さまざまなクラスターについては、この種の脆弱性を悪用してWebメールサーバーから情報を窃取していたことが、ESET、CERT-UA、Recorded Future、StrikeReady、およびCERT-PLによって報告されています。Webメールプラットフォームに対するこの種のXSS攻撃はハーフクリックエクスプロイトに分類され、ユーザーがメールを開くだけでエクスプロイトが発動するため、追加のソーシャルエンジニアリングは必要ありません。
2025年9月、プルーフポイントはこの種の脅威に属する新たなアクターを観測し、その活動の起源を追跡しました。少なくとも2025年7月以降、TA488（旧称 UNK_PitStop）は、Zimbra Collaboration Suiteメールサーバーに対するエクスプロイトを使用し、ウクライナの組織（Seqriteでも報告されています）に加え、米国の原子力施設および防衛産業基盤を標的としていました。TA488はロシアと連携する脅威アクターであり、ロシアの情報機関の指揮下にある可能性が高いと考えられます。TA488はZimbra環境に対するハーフクリックエクスプロイトを利用して、標的ユーザーのメールや認証情報を窃取し、さらにZimbraサーバーへの永続的なアクセスを確立していました。
配信とエクスプロイト
TA488は、攻撃者が管理するProton Mailアカウントと、過去に侵害したメールアドレスの両方を利用して、政府機関および教育機関を標的としたCVE-2025-66376を悪用するメールを送信していました。これらのメールは一般的な誘導内容を用いており、標的ユーザーがリンクをクリックしたり添付ファイルを開いたりする必要はありません。XSSエクスプロイトはメッセージのHTML本文に直接埋め込まれており、脆弱なZimbra Webmailクライアントで被害者がメールを開く、またはプレビューした時点で即座に実行されます。それ以上のユーザー操作は必要ありません。
図1. 2025年10月に確認されたTA488による「Cooperation Belgian Foundation」を装った誘導メール
このメールをZimbra Webmailで開くと、ユーザーが使用しているブラウザーに関係なく、脆弱なZimbra Webmailクライアントがメッセージ内のHTMLを不適切に処理し、任意のJavaScriptを実行します。これらのメッセージはCVE-2025-66376を悪用しており、この脆弱性では@import呼び出しの間にある要素が適切にサニタイズされません。
この脆弱性は、Zimbraのクライアント側HTMLサニタイザーに存在します。この攻撃では、TA488は悪意のあるタグをdisplay:noneのdiv内に隠し、偽のCSS @importディレクティブとHTMLコメントで分割する「タグ分割（tag-splitting）」と呼ばれる手法を用いています。これにより、サニタイザーはこれを実行可能なマークアップとして認識できませんが、ブラウザーはとして正しく再構築し、実行してしまいます。
このエクスプロイトでは、以下の例のようなコード断片が使用されています。
コード断片
再構築後のコード
scr@import … ;ipt
script
onlo@import … ;ad=ev@import … ;al
onload=eval
at@import … ;ob
atob()
サニタイザー／リライターは@importシーケンスを削除または変更するため、残った文字列が結合され、という有効な構文になります。
図2. 保存型XSSとエンコードされたJavaScriptを示すメッセージ本文のHTML
これにより、脅威アクターは次のような文字列を作成できます。
@import FHBCuUYUGEQODuCrzISjiZsOR;ipt>WqRodzBMCtyle>@import;vg/KttsYfUnHEmwoXouXy/onlo@import zZhGLNPLxJ;ad=ev@import acXApYgYEaXwpIprFa;al(at@import poxscPRqHcoGoodXaFvoY;ob(
Webmailクライアントは、この文字列をとして解釈し、その後に続くエンコード済みJavaScriptを実行します。
図3. 2025年10月以前のTA488キャンペーンで使用された、デコード後のJavaScript第1層
少なくとも2025年10月以降、TA488は最終ペイロードを基本的なXORループでラップするようになりました。これは、セキュアメールゲートウェイの検知メカニズムを回避する能力を高めることが目的だったと考えられます。埋め込まれたペイロードは、ブラウザーページ内にIDがzmb_pl_v3_のscript要素が既に存在するかどうかを確認し（同じコードが二重に実行されることを防ぐため）、存在しない場合はzmb_pl_v3_というIDでスクリプトをブラウザーページへ挿入します。その後、キャンペーンごとに変更される10文字のキーを使用して、第2のデータブロブをXOR復号します。
図4. 2025年11月以降のTA488キャンペーンで使用された、第2層のXOR難読化を利用するJavaScript第1層
ブラウザーページのコンテキスト内で実行されるこのスクリプトは、認証済みWebメールセッション内で利用可能なすべてのデータへアクセスできるようになります。また、このスクリプトは標的ブラウザーのJavaScriptエンジン内で実行されるため、多くのEDRやアンチウイルス製品では明確なフォレンジックの痕跡が残らず、解析を困難にします。
JavaScriptのID命名規則（zmb_pl_v3_）からは、プルーフポイントがまだ観測していない、より古いバージョンのマルウェアが存在することが示唆されます。プルーフポイントでは、このマルウェアファミリーを「ZimReaper」として追跡しています。
ZimReaper
このJavaScriptは、まずC&Cサーバーへ通信してエクスプロイトが成功したことを記録し、その後、ブラウザーからログイン中ユーザーのCross-Site Request Forgery（CSRF）トークンとオートコンプリート（自動入力）パスワードを窃取します。続いて、ZimReaperはZimbra APIを使用して対象デバイスの偵察を行い、二要素認証（2FA）のコードを収集します。これらの情報は、被害者のメールアドレスやZimbra環境に関する情報とともに、攻撃者のC&CへのDNSクエリを介して外部へ送信されます。
図5. オートコンプリート（自動入力）パスワード情報を収集するZimReaper
ZimReaperはさらに、CreateAppSpecificPasswordRequestを使用して、「ZimbraWeb」という名前のアプリケーション専用パスワードを作成し、メールサーバーへの永続的なアクセスを確立します。このパスワードを利用すると、二要素認証を必要とせずにIMAP、POP3、SMTP経由でアクセスできるため、攻撃者は侵害したアカウントからフィッシングメールを送信したり、メールサーバーからメールを手動で窃取したりできます。Zimbraによって生成されたこのパスワードも、DNSクエリを介して外部へ送信されます。
図6. DNSを利用した情報送信のロジック
DNSによる情報送信のスキーマでは、最初に一意の識別子が付与され、その後にトークン種別が平文で付加され、続いてトークンデータがBase32でエンコードされます。メインドメインはCloudflareのネームサーバーを使用していますが、それ以外のサブドメインはルートドメイン（Apexドメイン）をネームサーバーとして使用しているため、DNSルックアップを攻撃者が直接観測できます。
図7. DNSを利用した情報送信のスキーマ
攻撃者は、DNSを利用した情報送信において以下のキーを使用しています。
キー
種類
2fa
標的ユーザーの2FAスクラッチコード
c
Zimbraのバージョン
e
標的ユーザーのメールアドレス
pa
「ZimbraWeb」アプリケーション専用パスワード
pw
標的ユーザーの自動入力パスワード
url
ZimbraサーバーのURL
その後、このマルウェアは、あらゆる2文字の組み合わせでクエリを実行しながらGlobal Address List（GAL）を走査し、サーバーディレクトリ内に登録されているすべての連絡先を取得しようとします。
図8. Global Address Listを走査するZimReaperのロジック
最後に、このJavaScriptは標的ユーザーがアクセス可能な過去90日分のメールを順番に処理し、Zimbraのエクスポート機能を利用して、それらのメールをTGZファイルとしてHTTP POSTリクエスト経由で前述のC&Cへ送信します。
図9. ZimReaperによる大量メール窃取のロジック
侵害に成功した後、TA488はメールサーバーへのアクセスを利用して、追加の標的に対してエクスプロイトを含むメールを送信していました。侵害された正規の送信元アカウントを使用することで、新たな標的に対するスピアフィッシングメールの信頼性をさらに高めています。
現時点では、侵害されたメールサーバーへのアクセスに「ZimbraWeb」のアプリケーション専用認証情報が利用されているのか、それともTA488が窃取した認証情報を使用しているのかは明らかになっていません。
インフラストラクチャ
TA488は、Zimbraのテレメトリーサービスを装うドメインを作成し、管理者やセキュリティアナリストに対して、観測された外向き通信がZimbraサーバーのパフォーマンスに関連する正当な通信であると信じ込ませようとしていました。これらのドメインは約1年にわたって継続的に作成され、TA488のキャンペーンで使用されました。一方で、古いサーバーも後続の攻撃キャンペーン中にオンラインのまま維持されており、攻撃者が既存の感染状況を監視するために利用していたと考えられます。2025年10月にドメインの展開が一時的に途切れているのは、攻撃者がZimReaperの外側のレイヤーにXOR難読化を追加した時期と一致しています。
図10. ZimReaper関連ドメインの登録時系列
TA488のインフラ構築では、ドメイン登録にはさまざまなレジストラを利用している一方で、Cloudflareのネームサーバーを一貫して使用する傾向が確認されました。これらのドメインは、Zimbraやメール分析サービスを装う名称を使用しており、nginxを実行するサーバー上でホストされています。サーバーでは、SSH用の22番ポート、DNS用の53番ポート、HTTP用の443番ポートの3つが開放されています。使用されたすべてのドメインでは、DNSトンネリングを実現するために「i.」サブドメインの作成が必要となっており、この構成はTLS証明書にも反映されています。
アトリビューション（攻撃者の特定）
プルーフポイントは、TA488がVoid Blizzard（Laundry Bear）と状況証拠上の類似点を持つことを確認しています。具体的には、匿名性の高いメールサービスを利用してドメインを登録する傾向、Cloudflare上にインフラを構築する傾向、NATO加盟国やウクライナ政府、防衛産業基盤を持つ組織を一貫して標的としていること、さらに活動目的の一環としてメール情報の収集に重点を置いていることなどが挙げられます。
プルーフポイントは、自社のテレメトリーのみからはTA488の活動をVoid Blizzardに高い確度で帰属させることはできませんでした。しかし、米国政府機関との連携により、この関連性が確認されています。また、米国の連邦起訴状では、TA488はロシアの情報機関のために活動する民間請負業者であることが示されています。
ロシア参謀本部情報総局（GRU）に属する他の脅威アクターであるTA422（APT28、Forest Blizzard、Sofacy、Fancy Bear）、TA458（RoundPress）、およびTA426（Zebrocy、UAC-0063）と同様に、TA488もウクライナ政府機関に加え、米国および欧州のエネルギー、科学、外交関連組織、防衛関連企業を一貫して標的としています。これらの標的のメールボックス認証情報を収集し、メールを窃取するという戦術は、TA488だけでなく、これまで帰属が確認されているTA458やTA422にも共通して見られる特徴です。
エクスプロイトと任務分担について
プルーフポイントは、TA458がCVE-2025-66376を使用していることは確認していません。これは、同グループがWebメール向けXSSゼロデイ脆弱性へ継続的にアクセスできる状況にあるにもかかわらずです。確認された事実ではありませんが、このエクスプロイトはロシア情報機関の上位組織からTA488に提供され、TA458の活動とは重複しないよう調整されたうえで運用されていた可能性があります。
また、単一のエクスプロイトへのアクセスが限定されていたことは、TA488がエクスプロイトのトリガーを難読化する手法や、埋め込まれたペイロードの難読化を継続的に更新していた理由を説明できる可能性があります。さらに、SeqriteがTA488によるZimbra Collaboration Suiteメールサーバー向けエクスプロイトの利用を公表したブログの後に、同グループが数か月前から運用していたインフラを破棄した理由についても、この作戦や攻撃能力を保護しようとしていたためであるという見方ができます。
さらに分析に基づく仮説として、大規模言語モデル（LLM）が広く普及している現在においても、TA488はこのエクスプロイトを自ら開発したのではなく、作戦能力を強化する目的で提供された可能性があります。この可能性を踏まえると、TA488は今後もZimbraサーバーを標的とし続けるために、Zimbraのパッチを回避する手法の開発にLLMを活用している可能性も考えられます。
まとめ
プルーフポイントは、Seqriteによるブログ公開とTA488自身によるインフラの撤去以降、2026年2月以降のTA488の活動を確認していません。今後、TA488は認証情報やメールを窃取するための別の手法を模索する可能性があります。確認された事実ではありませんが、短期的にはLLMを活用してWebメールプロバイダーに存在する類似の脆弱性を発見しようとする可能性もあります。同グループは今後も、自らの攻撃能力と投資を保護するため、活動内容が公表されることに対して引き続き高い警戒心を持ち、敏感に対応すると考えられます。
検知と対策
Zimbraをご利用で標的となった可能性がある場合は、/opt/zimbra/log/audit.logを確認し、CreateAppSpecificPasswordの呼び出しが記録されていないかを確認することを推奨します。また、「ZimbraWeb」や類似の名前で作成されたアプリケーション専用パスワードが存在する場合は、速やかに無効化するなどの対策を実施してください。
ET ルール
2071243 – ET MALWARE JS ZimReaper C2 Beacon
2071244 – ET MALWARE JS ZimReaper C2 Exfiltration
2071245 – ET MALWARE JS ZimReaper Zimbra Mailbox Archive Export
2071246 – ET MALWARE JS ZimReaper C2 DNS-label pixel Exfiltration over HTTP
2071247 – ET MALWARE JS ZimReaper C2 DNS-label Exfiltration in TLS SNI
2071248 – ET MALWARE JS ZimReaper C2 DNS-label Exfiltration in DNS Lookup
2071249 – ET SCAN Zimbra Collaboration Global Address List Bulk Enumeration
2865592 – ETPRO WEB_SPECIFIC_APPS Zimbra Collaboration (ZCS) Sanitization Bypass via import Directive (CVE-2025-66376)
Indicators（侵害指標）
Indicator
Type
Description
First Seen
zmailanalytics[.]com
Domain
ZimReaper C&C
July 2025
zimbra-metadata[.]com
Domain
ZimReaper C&C
August 2025
analyticemailmeter[.]com
Domain
ZimReaper C&C
September 2025
emailanalytics.com[.]ua
Domain
ZimReaper C&C
September 2025
mailnalysis[.]com
Domain
ZimReaper C&C
November 2025
zimbrastat[.]com
Domain
ZimReaper C&C
December 2025
zimbrasoft.com[.]ua
Domain
ZimReaper C&C
January 2026
synacorzimbra[.]nl
Domain
ZimReaper C&C
February 2026
istc-cloud[.]com
Domain
ZimReaper C&C
February 2026
c.laurent.ejfa@proton[.]me
Email address
Actor-controlled sender address
September 2025
j.moreau.epsc@proton[.]me
Email address
Actor-controlled sender address
October 2025
liberty.insights@proton[.]me
Email address
Actor-controlled sender address
November 2025
98df604ecc57f884a2e6ce3266a0013ad64455cac48442c2312cfa4765007aaf
SHA256
Exploit email
February 2026
60db9abae75cd8ccc49dd7ea5feb41677566dcd442f12ebc5745ffd2810fb874
SHA256
Exploit email
December 2025
b1f5beb1175fc5c7d1806a2f0d900eb124c54f0286c5c52b66eea7a6633adb1d
SHA256
Exploit email
December 2025
1517b3caa495f6c4e832df9c75fc94667e3c233773f7fa4e056d5e30e5ead760
SHA256
Exploit email
November 2025
YARA rule
rule TA488_Zimbra_Exploit_Email
{
meta:
author = “Greg Lesnewich”
description = “Track TA488 emails using Zimbra exploits”
date = “2026-01-15”
version = “1.0”
hash = “98df604ecc57f884a2e6ce3266a0013ad64455cac48442c2312cfa4765007aaf”
hash = “60db9abae75cd8ccc49dd7ea5feb41677566dcd442f12ebc5745ffd2810fb874”
hash = “b1f5beb1175fc5c7d1806a2f0d900eb124c54f0286c5c52b66eea7a6633adb1d”
hash = “1517b3caa495f6c4e832df9c75fc94667e3c233773f7fa4e056d5e30e5ead760”
strings:
$ = /<\w+@import;/
$ = “ID0gInptYl9wbF” ascii base64
$ = “A9ICJ6bWJfcGxf” ascii base64
$ = “gPSAiem1iX3BsX” ascii base64
$ = “em1iX3BsX” ascii base64
$ = “ptYl9wbF” ascii base64
$ = “6bWJfcGxf” ascii base64
$ = ” = \”zmb_pl_” ascii base64
$ = “zmb_pl_” ascii base64
condition:
1 of them
}